เจาะลึก โทษตามกฎหมาย PDPA ที่องค์กรส่วนใหญ่ควรรู้

[Ailie662]

กฎหมาย PDPA หรือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล เป็นเรื่องสำคัญที่องค์กรต้องให้ความสำคัญ โดยเฉพาะในปี 2569 ที่หน่วยงานกำกับดูแล มีความเข้มงวดด้านการบังคับใช้มากขึ้น ทั้งเรื่องของการขอความยินยอม การจัดเก็บข้อมูลของลูกค้า การโอนข้อมูลข้ามประเทศ รวมถึงแนวทางการปฏิบัติที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล หากฝ่าฝืนก็จะได้รับบทลงโทษแตกต่างกันออกไป ดังนี้

โทษทางแพ่ง

หากองค์กรทำให้เจ้าของข้อมูลส่วนบุคคลเสียหาย จะต้องใช้ค่าสินไหมทดแทนไม่ว่าจะตั้งใจหรือไม่ตั้งใจก็ตาม เว้นแต่จะพิสูจน์ได้ว่า เกิดจากเหตุสุดวิสัย หรือเป็นการปฏิบัติตามคำสั่งของเจ้าหน้าที่ สำหรับค่าสินไหมทดแทน จะรวมถึงค่าใช้จ่ายที่เจ้าของข้อมูล ได้จ่ายไปตามความจำเป็น เพื่อป้องกันความเสียหายที่กำลังจะเกิดขึ้น หรือระงับความเสียหายที่เกิดขึ้นด้วย

โดยศาลอาจกำหนดให้ผู้กระทำผิด จ่ายเพิ่มเติมจากจำนวนค่าสินไหมทดแทนที่แท้จริงได้ แต่ต้องไม่เกินกว่า 2 เท่าของค่าสินไหมทดแทนที่แท้จริง ซึ่งบทลงโทษ PDPA ทางแพ่ง มีอายุความ 3 ปี นับแต่วันที่ผู้เสียหายรู้ถึงความเสียหาย

โทษทางอาญา

สำหรับบทลงโทษ PDPA ทางอาญานั้น สามารถยอมความได้ โดยความผิดเกิดจากการที่ธุรกิจในฐานะผู้ควบคุมข้อมูลส่วนบุคคลใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอ่อนไหว ย ซึ่งผลของความเสียหายต่อเจ้าของข้อมูลส่วนบุคคล จะมีความแตกต่างกัน ดังนี้

การกระทำความผิดนั้น อาจทำให้เจ้าของข้อมูลส่วนบุคคลเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย ต้องระวางโทษจำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 500,000 บาท หรือทั้งจำทั้งปรับ

หากความผิด เกิดจากการที่ธุรกิจแสวงหาประโยชน์ สำหรับตนเอง หรือผู้อื่นโดยทุจริต ต้องระวางโทษจำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 1,000,000 บาท หรือทั้งจำทั้งปรับ

ความผิดฐานเปิดเผยข้อมูลส่วนบุคคล ผู้ใดล่วงรู้ข้อมูลส่วนบุคคลของผู้อื่น เนื่องจาก การปฏิบัติหน้าที่ตาม PDPA แล้วนำไปเปิดเผยแก่ผู้อื่น ต้องระวางโทษจำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 500,000 บาท หรือทั้งจำทั้งปรับ

ในกรณีที่ผู้กระทำผิดเป็นนิติบุคคล บุคคลที่กระทำความผิดต้องรับผิดชอบ ในการดำเนินงานของนิติบุคคลนั้น ๆ และรับโทษตามความผิดนั้นๆ อีกด้วย

โทษทางปกครอง

ในส่วนของบทลงโทษ PDPA ในทางปกครอง มีอัตราโทษปรับทางปกครองสูงสุดไม่เกิน 5,000,000 บาท หรือในกรณีที่คณะกรรมการผู้เชี่ยวชาญ เห็นสมควรให้แก้ไข หรือตักเตือนก่อน โดยมีโทษดังนี้

โทษของผู้ควบคุมข้อมูลส่วนบุคคล

ไม่ขอความยินยอม หรือไม่แจ้งผลกระทบจากการถอนความยินยอม

ไม่แจ้งการเก็บข้อมูลส่วนบุคคล

ไม่ให้เจ้าของข้อมูลส่วนบุคคลเข้าถึงข้อมูลตามสิทธิ

ไม่ทำบันทึกรายการตามที่กฎหมายกำหนด

ไม่มีเจ้าหน้าที่ หรือไม่จัดให้มีเจ้าหน้าที่ดูแลข้อมูลส่วนบุคคลอย่างเพียงพอ

เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากฐานทางกฎหมาย

ใช้ข้อมูลส่วนบุคคลผิดไปจากวัตถุประสงค์ที่แจ้งเอาไว้

เก็บข้อมูลส่วนบุคคลเกินกว่าที่จำเป็น

เก็บข้อมูลส่วนบุคคลจากแหล่งอื่นที่ต้องห้ามตามกฎหมาย

ทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

ไม่ปฏิบัติตามหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล

โทษของผู้ประมวลผลข้อมูลส่วนบุคคล

การไม่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือไม่มีการสนับสนุนการปฏิบัติหน้าที่อย่างเพียงพอ

การไม่ปฏิบัติตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคล การไม่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม

การไม่จัดทำบันทึกรายการกิจกรรมการประมวลผล

การโอนข้อมูลส่วนบุคคลทั่วไป และข้อมูลส่วนบุคคลที่อ่อนไหวไปต่างประเทศโดยไม่ชอบด้วยกฎหมาย

บทลงโทษ PDPA ทางปกครองอื่น ๆ

ตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคล ไม่จัดให้มีบันทึกรายการประมวลผลข้อมูลส่วนบุคคล

ไม่ปฏิบัติตามคำสั่งคณะกรรมการผู้เชี่ยวชาญ หรือไม่มาชี้แจงข้อเท็จจริง หรือไม่ส่งข้อมูลให้คณะกรรมการผู้เชี่ยวชาญ

ขอบคุณข้อมูลจาก https://cloud-ta.com/