ถ้าคุณมีร้านค้าหรือธุรกิจเล็ก ๆ แล้วเคยจดชื่อ-เบอร์ลูกค้าไว้ส่งของ มีกล้องวงจรปิดหน้าร้าน หรือมี LINE OA ไว้บรอดแคสต์โปรโมชัน — ตามกฎหมายแล้วคุณคือ "ผู้ควบคุมข้อมูลส่วนบุคคล" เต็มตัว และอยู่ใต้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) เหมือนบริษัทมหาชนทุกประการ
ความเข้าใจผิดที่อันตรายที่สุดคือ "PDPA เป็นเรื่องของบริษัทใหญ่" เพราะเคสปรับจริงที่เกิดขึ้นแล้วในไทยมีตั้งแต่ค่าปรับ 16,940 บาทสำหรับผู้รับจ้างรายย่อย ไปจนถึง 7 ล้านบาทสำหรับร้านค้าปลีกไอทีรายใหญ่ และมีแม้กระทั่งร้านขายของเล่นสะสม (art toys) ที่โดนไปครึ่งล้าน บทความนี้จะสรุปให้จบในที่เดียว: ข้อมูลแบบไหนเข้าข่าย ธุรกิจเล็กต้องทำอะไรขั้นต่ำ โทษจริงเท่าไหร่ เคสจริงสอนอะไร และเรียนรู้เพิ่มฟรีได้ที่ไหน
ข้อมูลอัปเดต ณ กรกฎาคม 2569 อ้างอิงตัวบทกฎหมาย ประกาศราชกิจจานุเบกษา และเคสปรับจริงที่ สคส. เปิดเผย หากธุรกิจของคุณมีความเสี่ยงเฉพาะ (เช่น เก็บข้อมูลสุขภาพ หรือมีฐานลูกค้าจำนวนมาก) ควรปรึกษานักกฎหมายด้าน PDPA โดยตรง
ร้านเล็ก ๆ แบบเรา เก็บข้อมูลแบบไหนถึง "เข้าข่าย" PDPA?
PDPA บังคับใช้เต็มรูปแบบมาตั้งแต่ 1 มิถุนายน 2565 และครอบคลุม "ทุกธุรกิจ" ที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล — ไม่มีข้อยกเว้นทั่วไปสำหรับธุรกิจเล็ก คำว่า "ข้อมูลส่วนบุคคล" กว้างกว่าที่หลายคนคิดมาก คือข้อมูลใดก็ตามที่ระบุตัวคนได้ ไม่ว่าทางตรงหรือทางอ้อม ลองไล่ดูว่าร้านคุณมีอะไรบ้าง
- ชื่อ เบอร์โทร ที่อยู่จัดส่ง — จดในสมุด พิมพ์ในแชท หรืออยู่ในระบบขายออนไลน์ ก็นับหมด
- แชทและรายชื่อลูกค้าใน LINE OA / เพจ Facebook — รวมถึงประวัติการสั่งซื้อที่ผูกกับบัญชีลูกค้า
- ระบบสมาชิก แต้มสะสม บัตรสมาชิก — นี่คือ "ฐานข้อมูลลูกค้า" ชัดเจนที่สุด
- ภาพจากกล้องวงจรปิด — ใบหน้าคนคือข้อมูลส่วนบุคคล ภาพ CCTV จึงเข้าข่ายเสมอ
- ข้อมูลลูกจ้าง — สำเนาบัตรประชาชน เลขบัญชี ประวัติสุขภาพในใบสมัครงาน
- สำเนาบัตรประชาชนลูกค้า — พฤติกรรมที่ร้านไทยชอบขอ "เผื่อไว้" ทั้งที่หลายกรณีไม่จำเป็นเลย
พฤติกรรมที่พบบ่อยในร้านไทยและเสี่ยงผิด PDPA แบบไม่รู้ตัว ได้แก่ แคปหน้าจอแชทลูกค้า (เห็นชื่อ-เบอร์) ไปโพสต์ประจาน, ยิงบรอดแคสต์โปรโมชันใส่ฐานลูกค้าโดยไม่เคยขอความยินยอม, และการเอาเอกสารเก่าที่มีข้อมูลลูกค้าไปขายเป็นกระดาษชั่งกิโล — ข้อสุดท้ายไม่ใช่เรื่องสมมติ เพราะมีโรงพยาบาลเอกชนโดนปรับจริงมาแล้วจากกรณีเวชระเบียนคนไข้ไปโผล่เป็นถุงขนม
ได้ยินว่า SME ได้รับการยกเว้น — จริงแค่ไหน?
จริงบางส่วน และเป็นจุดที่คนเข้าใจผิดกันมากที่สุด ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (ลงราชกิจจานุเบกษา 10 มิถุนายน 2565) ยกเว้นหน้าที่เดียวคือ "บันทึกรายการประมวลผล" (RoPA) ตามมาตรา 39 วรรคหนึ่ง (1)–(6) และ (8) ให้กับกิจการขนาดเล็ก ได้แก่ SME ตามกฎหมายส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม วิสาหกิจชุมชน วิสาหกิจเพื่อสังคม สหกรณ์/กลุ่มเกษตรกร มูลนิธิ/สมาคม/องค์กรไม่แสวงกำไร และกิจการในครัวเรือน — แต่ยังต้องบันทึกกรณีปฏิเสธคำขอหรือการคัดค้านของเจ้าของข้อมูลตาม (7) อยู่ดี
ที่สำคัญกว่าคือ "ข้อยกเว้นของข้อยกเว้น": การผ่อนปรนนี้จะใช้ไม่ได้เลย ถ้าร้านของคุณ (ก) เก็บข้อมูลในลักษณะที่เสี่ยงต่อสิทธิเสรีภาพของเจ้าของข้อมูล (ข) เก็บข้อมูลแบบ "ไม่เป็นครั้งคราว" คือเก็บเป็นประจำต่อเนื่อง เช่น มีระบบสมาชิกหรือฐานลูกค้า LINE ที่ยิงโปรอยู่ตลอด หรือ (ค) มีข้อมูลอ่อนไหวตามมาตรา 26 (สุขภาพ ศาสนา ชีวมิติ ฯลฯ) — พูดตรง ๆ คือร้านที่ตั้งใจสะสมฐานลูกค้าประจำเพื่อทำการตลาด ซึ่งเป็นร้านส่วนใหญ่ในยุคนี้ มักจะ "ไม่เข้าข่าย" การยกเว้น และหน้าที่อื่น ๆ ทั้งหมดของ PDPA (แจ้ง privacy notice, รักษาความปลอดภัย, แจ้งเหตุรั่วไหล) ไม่เคยถูกยกเว้นให้ใครเลยตั้งแต่ต้น
การยกเว้นครอบคลุมเฉพาะเอกสารบันทึกรายการ (RoPA) บางข้อเท่านั้น หน้าที่หลัก เช่น แจ้งลูกค้า ขอความยินยอมเมื่อต้องขอ ดูแลความปลอดภัยข้อมูล และแจ้งเหตุข้อมูลรั่วภายใน 72 ชั่วโมง ยังอยู่ครบทุกข้อ และเกณฑ์นิยาม "กิจการขนาดเล็ก" อ้างอิงกฎหมายส่งเสริม SME อีกชั้น — ถ้าไม่แน่ใจว่าเข้าข่าย ให้ถือว่าต้องทำไว้ก่อนจะปลอดภัยกว่า
ธุรกิจเล็กต้องทำอะไรบ้างเป็นอย่างน้อย?
- 1) รู้ว่าตัวเองเก็บอะไร เพื่ออะไร ด้วยฐานกฎหมายอะไร — การขายของ/ส่งของให้ลูกค้าใช้ "ฐานสัญญา" ได้โดยไม่ต้องขอความยินยอมทุกเรื่อง แต่การตลาด (ยิงโปรทาง LINE/SMS/อีเมล) โดยทั่วไปต้องขอความยินยอมที่ถอนได้ง่าย
- 2) มี Privacy Notice แจ้งลูกค้า (มาตรา 23) ว่าเก็บอะไร ใช้ทำอะไร เก็บนานแค่ไหน ติดต่อใครได้ — ไม่แจ้งมีโทษปรับได้ถึง 1 ล้านบาท ทำเป็นหน้าเว็บสั้น ๆ หรือป้ายที่ร้านก็ได้
- 3) มีมาตรการความปลอดภัยตามมาตรา 37(1) — จำกัดคนเข้าถึงไฟล์ลูกค้า ตั้งรหัสผ่านที่ไม่ใช่ 123456 ไม่แชร์บัญชีเดียวกันทั้งร้าน และไม่ทิ้ง/ขายเอกสารลูกค้าโดยไม่ทำลาย
- 4) ถ้าข้อมูลรั่ว ต้องแจ้ง สคส. ภายใน 72 ชั่วโมง (มาตรา 37(4)) — เคสจริงที่นิ่งเฉยโดนปรับเพิ่มก้อนใหญ่จากข้อนี้โดยเฉพาะ
- 5) รองรับสิทธิของเจ้าของข้อมูล — ลูกค้าขอดู ขอลบ หรือถอนความยินยอมได้ ต้องมีช่องทางและตอบสนองจริง
- 6) เช็กว่าต้องมี DPO ไหม — บังคับเฉพาะกรณีประมวลผลข้อมูลจำนวนมาก/ติดตามพฤติกรรมเป็นกิจกรรมหลัก หรือใช้ข้อมูลอ่อนไหว ร้านเล็กส่วนใหญ่ไม่บังคับ แต่ธุรกิจออนไลน์ที่ฐานลูกค้าโตแล้วอย่าประมาท — เคสแรกของไทยโดนปรับ 1 ล้านบาทจากการไม่ตั้ง DPO ทั้งที่เข้าเกณฑ์
| กิจกรรมของร้าน | ฐานกฎหมายที่มักใช้ได้ | ต้องขอความยินยอมไหม |
|---|---|---|
| รับออเดอร์-จัดส่งสินค้า (ชื่อ เบอร์ ที่อยู่) | ฐานสัญญา | ไม่ต้อง (แต่ต้องแจ้ง Privacy Notice) |
| ยิงโปรโมชัน/บรอดแคสต์ LINE, SMS, อีเมล | ความยินยอม | ต้องขอ และต้องถอนได้ง่าย |
| กล้องวงจรปิดเพื่อความปลอดภัย | ประโยชน์อันชอบธรรม | ไม่ต้อง แต่ต้องติดป้ายแจ้ง + มีนโยบาย |
| เก็บข้อมูลลูกจ้างเพื่อจ้างงาน/จ่ายเงินเดือน | ฐานสัญญา / หน้าที่ตามกฎหมาย | ส่วนใหญ่ไม่ต้อง |
| ข้อมูลอ่อนไหว (สุขภาพ ศาสนา ชีวมิติ) | มาตรา 26 — เข้มงวดพิเศษ | ต้องขอความยินยอมโดยชัดแจ้ง — เลี่ยงได้ให้เลี่ยง |
สรุปแนวทางทั่วไปจากตัวบทกฎหมายและแนวปฏิบัติที่เผยแพร่ — กรณีจริงขึ้นกับบริบทของแต่ละธุรกิจ
กล้องวงจรปิดหน้าร้านกับ LINE ลูกค้า ทำยังไงให้ถูก?
สองเรื่องนี้คือจุดสัมผัส PDPA ที่ร้านเล็กเจอทุกวัน เริ่มที่กล้องวงจรปิด: ข่าวดีคือคุณติดกล้องเพื่อความปลอดภัยได้โดยไม่ต้องขอความยินยอมลูกค้าทีละคน เพราะใช้ฐาน "ประโยชน์อันชอบธรรม" ได้ แต่แนวปฏิบัติที่แนะนำกันคือ ต้องติดป้ายแจ้งชัดเจนว่าพื้นที่นี้มีการบันทึกภาพ พร้อมระบุวัตถุประสงค์ (เพื่อความปลอดภัยในชีวิตและทรัพย์สิน) มีนโยบาย CCTV สั้น ๆ และเก็บภาพเท่าที่จำเป็น (ที่นิยมกันคือราว 7–30 วันแล้ววนทับ) การติดกล้องแบบเงียบ ๆ ไม่มีป้าย ไม่มีนโยบาย คือช่องให้ถูกร้องเรียน และโทษฐานไม่แจ้งตามมาตรา 23 ปรับได้ถึง 1 ล้านบาท — หมายเหตุตรง ๆ ว่านี่เป็นการตีความมาตรา 23 บวกฐานประโยชน์อันชอบธรรมตามแนวปฏิบัติที่เผยแพร่กันแพร่หลาย ไม่ใช่ประกาศเฉพาะของ สคส.
ส่วน LINE OA และแชทลูกค้า: การตอบแชทเพื่อขายของและส่งของ ใช้ฐานสัญญาได้ตามปกติ แต่ทันทีที่คุณเริ่ม "ยิงโปร" ใส่ฐานรายชื่อ นั่นคือการตลาดที่โดยทั่วไปต้องมีความยินยอม และลูกค้าต้องถอนได้ง่าย (ปุ่ม block/ยกเลิกรับข่าวสารต้องทำงานจริง) สิ่งที่ห้ามเด็ดขาดคือแคปหน้าจอแชทที่เห็นชื่อ-เบอร์ลูกค้าไปโพสต์สาธารณะ ไม่ว่าจะด้วยความหวังดีหรือหงุดหงิดก็ตาม เพราะเป็นการเปิดเผยข้อมูลนอกวัตถุประสงค์ที่แจ้งไว้ ยิ่งในยุคที่แก๊งคอลเซ็นเตอร์ระบาด ลูกค้าไทยไวต่อเรื่องข้อมูลรั่วมาก และร้องเรียน สคส. ได้ฟรีผ่าน complaint.pdpc.or.th
โทษจริงตามกฎหมายหนักแค่ไหน?
PDPA มีโทษ 3 ชั้นซ้อนกัน: โทษปกครอง (คณะกรรมการผู้เชี่ยวชาญสั่งปรับได้เลยไม่ต้องขึ้นศาล) โทษอาญา (สำหรับกรณีข้อมูลอ่อนไหว มีจำคุกและกรรมการบริษัทรับผิดร่วมได้) และโทษแพ่ง (ลูกค้าฟ้องเรียกค่าเสียหายเอง)
| ประเภทโทษ | เพดาน | ตัวอย่างความผิด |
|---|---|---|
| ปกครอง ระดับ 1 | ไม่เกิน 1,000,000 บาท | ไม่แจ้ง Privacy Notice, ไม่ทำบันทึกรายการ (กรณีไม่ได้รับยกเว้น), ไม่ตั้ง DPO ทั้งที่เข้าเกณฑ์ |
| ปกครอง ระดับ 2 | ไม่เกิน 3,000,000 บาท | เก็บ/ใช้/เปิดเผยข้อมูลโดยไม่มีฐานกฎหมาย, ขอความยินยอมไม่ถูกต้อง, มาตรการความปลอดภัยบกพร่อง |
| ปกครอง ระดับ 3 | ไม่เกิน 5,000,000 บาท | ละเมิดข้อมูลอ่อนไหวตามมาตรา 26, ส่งข้อมูลไปต่างประเทศโดยไม่ชอบ |
| อาญา | จำคุกไม่เกิน 6 เดือน–1 ปี / ปรับไม่เกิน 5 แสน–1 ล้านบาท | ใช้ข้อมูลอ่อนไหวทำให้ผู้อื่นเสียหาย (6 เดือน/5 แสน) หรือเพื่อแสวงหาประโยชน์มิชอบ (1 ปี/1 ล้าน) — กรรมการรับผิดร่วมได้ |
| แพ่ง | ค่าเสียหายจริง + เชิงลงโทษไม่เกิน 2 เท่า | ลูกค้าที่เสียหายฟ้องเอง ศาลสั่งค่าสินไหมเชิงลงโทษเพิ่มจากค่าเสียหายจริงได้ |
สรุปจาก พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ยืนยันข้ามแหล่ง (PDPA Thailand / กรุงเทพธุรกิจ)
เคสปรับจริงในไทยมีอะไรบ้าง แล้วสอนอะไรร้านเล็ก?
นี่คือส่วนที่ทำให้ PDPA ไม่ใช่ "เสือกระดาษ" อีกต่อไป เคสแรกของไทยคือ JIB ร้านค้าปลีกอุปกรณ์ไอทีรายใหญ่ ถูกคณะกรรมการผู้เชี่ยวชาญสั่งปรับรวม 7,000,000 บาท (คำสั่งลงวันที่ 31 กรกฎาคม 2567 — สคส. เปิดเผยต่อสาธารณะเมื่อ 21 สิงหาคม 2567) หลังข้อมูลลูกค้าออนไลน์รั่วไปถึงมือแก๊งคอลเซ็นเตอร์ โดยแยกเป็น 1 ล้านบาทฐานไม่แต่งตั้ง DPO ทั้งที่เข้าเกณฑ์ 3 ล้านบาทฐานมาตรการความปลอดภัยไม่เพียงพอ และอีก 3 ล้านบาทฐานไม่แจ้งเหตุละเมิดภายใน 72 ชั่วโมง — สังเกตว่าก้อนใหญ่สุดสองก้อนคือเรื่องที่ธุรกิจทุกขนาดพลาดได้
ถัดมาคือชุดคำสั่งใหญ่ที่ สคส. เปิดเผยเมื่อ 1 สิงหาคม 2568 รวม 5 เรื่อง ทำให้ยอดค่าปรับสะสมตั้งแต่กฎหมายบังคับใช้ขยับเป็นอย่างน้อยราว 21.5 ล้านบาท (ณ ส.ค. 2568) เคสที่ธุรกิจเล็กควรอ่านซ้ำสองรอบคือร้านค้าปลีกของเล่นสะสม (art toys) ที่ระบบจองสินค้าถูกแฮก: เจ้าของร้านในฐานะผู้ควบคุมข้อมูลโดนปรับ 500,000 บาท ส่วนบริษัทผู้พัฒนาระบบ (ผู้ประมวลผล) โดนอีก 3,000,000 บาท และเคสโรงพยาบาลเอกชนที่จ้างคนภายนอกทำลายเอกสาร แต่เวชระเบียนคนไข้ราวพันรายกลับถูกนำไปพับเป็นถุงขนมโตเกียว — โรงพยาบาลโดน 1.21 ล้านบาท ผู้รับจ้างโดน 16,940 บาท
การบังคับใช้ไม่ได้หยุดแค่นั้น — เดือนธันวาคม 2568 แม้แต่หน่วยงานรัฐระดับประเทศอย่างสำนักงาน กกต. ก็โดนปรับ 335,000 บาท หลังรายชื่อผู้สมัคร สว. ระดับอำเภอราว 23,645 ราย (มีทั้งชื่อ-นามสกุล และเลขบัตรประชาชน) หลุดไปโผล่บนโซเชียล สาเหตุตรง ๆ คือเจ้าหน้าที่ส่งไฟล์ข้อมูลผ่าน LINE โดยไม่มีมาตรการป้องกัน เช่น การเข้ารหัสหรือจำกัดการเข้าถึง (ผิดมาตรา 37(1)) ส่วนการแจ้งเหตุช้าเกิน 72 ชั่วโมงถูกลงโทษเพียงตักเตือนเพราะให้ความร่วมมือ — บทเรียนนี้แทงใจร้านเล็กที่สุด เพราะ "ส่งไฟล์ลูกค้าผ่านกลุ่ม LINE" คือสิ่งที่ร้านไทยทำกันทุกวันโดยไม่คิดว่าผิด ทั้งนี้ ณ ต้นเดือนกรกฎาคม 2569 เราตรวจสอบแล้วยังไม่พบคำสั่งปรับใหม่ที่ สคส. เปิดเผยเป็นทางการหลังกรณี กกต. — แต่ สคส. ประกาศชัดว่าปี 2569 จะยกระดับการบังคับใช้ต่อเนื่อง จึงคาดได้ว่าจะมีเคสใหม่ตามมา
| เคส | ค่าปรับ | ฐานความผิดหลัก | ช่วงเวลา |
|---|---|---|---|
| JIB (ค้าปลีกไอที) — เคสแรกของไทย | 7,000,000 บาท | ไม่มี DPO (1 ล.) + ความปลอดภัยบกพร่อง (3 ล.) + ไม่แจ้งเหตุใน 72 ชม. (3 ล.) | คำสั่ง ก.ค. 2567 (เปิดเผย ส.ค. 2567) |
| หน่วยงานรัฐถูกแฮก ข้อมูลประชาชน ~2 แสนรายไป Dark Web | 153,120 + 153,120 บาท (controller + processor) | รหัสผ่านอ่อน ไม่มีสัญญา DPA กับผู้ประมวลผล | ส.ค. 2568 |
| โรงพยาบาลเอกชน — เวชระเบียนกลายเป็นถุงขนมโตเกียว | 1,210,000 + 16,940 บาท (รพ. + ผู้รับจ้างทำลายเอกสาร) | ทำลายเอกสารไม่ปลอดภัย | ส.ค. 2568 |
| บริษัทเครื่องสำอาง | 2,500,000 บาท | ระบบไม่ปลอดภัย + ไม่รายงานเหตุละเมิด | ส.ค. 2568 |
| ร้านค้าปลีกของเล่นสะสม (art toys) ระบบจองถูกแฮก | 500,000 + 3,000,000 บาท (ร้าน + ผู้พัฒนาระบบ) | ความปลอดภัยบกพร่อง | ส.ค. 2568 |
| สำนักงาน กกต. — รายชื่อผู้สมัคร สว. ~23,645 รายหลุดบนโซเชียล | 335,000 บาท | ส่งไฟล์ข้อมูลผ่าน LINE โดยไม่มีมาตรการป้องกัน (ม.37(1)) + ตักเตือนฐานแจ้งเหตุช้ากว่า 72 ชม. | ธ.ค. 2568 |
ยอดปรับสะสมทั้งประเทศอย่างน้อยราว 21.5 ล้านบาท ณ ส.ค. 2568 และมีคำสั่งเพิ่มภายหลัง (เช่น กกต. ธ.ค. 2568) — ณ ก.ค. 2569 ยังไม่พบคำสั่งใหม่ที่เปิดเผยเป็นทางการหลังจากนั้น
บทเรียนที่ตรงกับ SME ที่สุดจากชุดเคสปี 2568: แม้คุณจ้างคนนอกทำระบบจองหรือทำลายเอกสาร เจ้าของธุรกิจในฐานะ "ผู้ควบคุมข้อมูล" ก็ยังโดนปรับเองด้วย เพราะหน้าที่เลือกผู้รับจ้างที่ปลอดภัย ทำข้อตกลงประมวลผลข้อมูล (DPA) และกำกับดูแล เป็นของคุณ ไม่ใช่ของผู้รับจ้าง
อีกสัญญาณที่บอกทิศทางการบังคับใช้: ปลายเดือนพฤศจิกายน 2568 สคส. สั่งตัวแทน Worldcoin ในไทยหยุดสแกนม่านตาและลบข้อมูลชีวมิติของประชาชนราว 1.2 ล้านคน — ตอกย้ำว่า "ข้อมูลอ่อนไหว" ตามมาตรา 26 คือเส้นที่หน่วยงานกำกับจับตาแรงที่สุด ร้านเล็กจึงควรยึดหลักง่าย ๆ ว่าอะไรที่เป็นสุขภาพ ศาสนา หรือชีวมิติ ถ้าไม่จำเป็นจริง ๆ อย่าเก็บเลยตั้งแต่แรก
อยากเริ่มทำให้ถูก เรียนรู้เพิ่มฟรีได้ที่ไหน?
ข่าวดีคือคุณไม่ต้องจ่ายเงินสักบาทเพื่อเริ่มต้น สคส. มีระบบ PDPC e-Learning (elearning.pdpc.or.th) เปิดให้เรียนฟรี ไม่มีข้อผูกมัด จบแล้วได้ใบประกาศนียบัตรดิจิทัลจาก สคส. โดยหลักสูตรหลักว่าด้วยการปฏิบัติหน้าที่ของผู้ควบคุมข้อมูล ผู้ประมวลผล DPO และลูกจ้าง ความยาวราว 3 ชั่วโมง 7 นาที เหมาะมากสำหรับเจ้าของร้านและพนักงานที่แตะข้อมูลลูกค้าเป็นประจำ นอกจากนี้ยังมีแพลตฟอร์ม GPPC (gppc.pdpc.or.th) รวมคอร์สและเครื่องมือช่วยทำ compliance เพิ่มเติม
วันแรก: ไล่ลิสต์ว่าร้านเก็บข้อมูลอะไรอยู่บ้างและเก็บไว้ที่ไหน · วันที่ 2–3: เขียน Privacy Notice สั้น ๆ + ติดป้าย CCTV · วันที่ 4–5: จัดระเบียบไฟล์ลูกค้า ตั้งรหัสผ่าน จำกัดคนเข้าถึง เลิกเก็บสำเนาบัตรที่ไม่จำเป็น เลิกส่งไฟล์ข้อมูลลูกค้าผ่านกลุ่ม LINE แบบไม่ป้องกัน · สุดสัปดาห์: ให้ตัวเองและพนักงานหลักเรียนคอร์สฟรีของ สคส. ให้จบ — ต้นทุนรวมเป็นศูนย์ แต่ตัดความเสี่ยงค่าปรับหลักแสนถึงหลักล้านออกไปได้มาก
มุมที่อยากให้มองกลับด้าน: complaint.pdpc.or.th คือช่องทางที่ "ลูกค้าของคุณ" ใช้ร้องเรียนธุรกิจได้ฟรีเช่นกัน และในยุคที่คนไทยโยงทุกสายโทรหลอกลวงกับร้านที่ตัวเองเคยให้เบอร์ไว้ การทำ PDPA ให้เรียบร้อยจึงไม่ใช่แค่การหนีค่าปรับ แต่คือเครื่องมือสร้างความไว้วางใจที่จับต้องได้ — ร้านที่กล้าบอกชัดว่าเก็บอะไร เพื่ออะไร และลบให้เมื่อไหร่ ได้เปรียบกว่าร้านที่เงียบเสมอ เช่นเดียวกับถ้าคุณเริ่มทำการตลาดผ่านอีเมลหรือระบบบรอดแคสต์ อย่าลืมว่าระบบที่เลือกใช้ต้องรองรับการขอและถอนความยินยอมตาม PDPA ด้วย
