ค่าปรับ PDPA เกิดขึ้นจริงแล้วกว่า 21 ล้านบาท — และเกือบทั้งหมดไม่ได้โดนเพราะถูกแฮก

เป็นเวลาหลายปีที่ธุรกิจไทยพูดถึง PDPA ด้วยน้ำเสียงเดียวกัน: กฎหมายมีจริง แต่ไม่เห็นใครโดนปรับ ประโยคนั้นหมดอายุแล้ว วันที่ 31 กรกฎาคม 2567 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ออกคำสั่งปรับทางปกครองรายแรกกับบริษัทอีคอมเมิร์ซเอกชนรวม 7 ล้านบาท และในวันที่ 1 สิงหาคม 2568 ประกาศคำสั่งปรับอีกชุดรวม 8 รายการ มูลค่ารวม 14.5 ล้านบาทใน 5 คดี ซึ่งมีทั้งเอกชนและหน่วยงานรัฐ ยอดค่าปรับสะสมตั้งแต่เริ่มบังคับใช้จึงทะลุ 21 ล้านบาทแล้ว สิ่งที่น่าสนใจกว่าตัวเลขคือโครงสร้างของความผิด — เพราะมันบอกชัดว่าอะไรกันแน่ที่ทำให้ธุรกิจโดนปรับ

อ่านคำสั่งปรับแล้วเห็นอะไร: โดนเพราะกระบวนการ ไม่ใช่เพราะแฮกเกอร์

แกะคดีแรกทีละก้อนแล้วภาพชัดมาก บริษัทถูกละเมิดข้อมูลจนข้อมูลลูกค้าไปอยู่ในมือแก๊งคอลเซนเตอร์ — แต่ค่าปรับไม่ได้ออกในฐานะถูกแฮก มันออกในสามฐานที่ล้วนเป็นการละเลยที่พิสูจน์ง่าย: หนึ่ง กฎหมายกำหนดให้ธุรกิจลักษณะนี้ต้องมีเจ้าหน้าที่คุ้มครองข้อมูล (DPO) แล้วไม่มี สอง ไม่มีมาตรการรักษาความปลอดภัยที่เหมาะสมทั้งที่มีลูกค้าร้องเรียนถึง 23 ราย และสาม เมื่อเกิดเหตุแล้วไม่แจ้ง สคส. ภายใน 72 ชั่วโมงตามที่กฎหมายกำหนด สังเกตว่าทั้งสามฐานตรวจสอบได้จากเอกสารล้วน ๆ: มีคำสั่งแต่งตั้ง DPO ไหม มีบันทึกมาตรการไหม มีหลักฐานการแจ้งไหม — นี่คือเหตุผลที่ผู้กำกับดูแลทั่วโลกชอบฐานความผิดแบบนี้ เพราะไม่ต้องพิสูจน์เรื่องเทคนิคเลย

• ตอบให้ได้ก่อนว่าธุรกิจของคุณเข้าเกณฑ์ต้องมี DPO ไหม — ธุรกิจที่ประมวลผลข้อมูลจำนวนมากหรือข้อมูลอ่อนไหวเป็นงานหลักมักเข้าเกณฑ์ และค่าปรับฐานนี้ก้อนเดียวคือระดับล้านบาท
• เตรียมเส้นทาง 72 ชั่วโมงไว้ก่อนเกิดเหตุ: ใครรู้เหตุแล้วบอกใคร ใครประเมิน ใครแจ้ง สคส. ช่องทางไหน — คดีจริงโดนสามล้านเพราะนาฬิกาเรือนนี้เดินแล้วไม่มีใครขยับ
• มาตรการรักษาความปลอดภัยต้องเขียนเป็นเอกสารและทำจริง: สิทธิ์เข้าถึงตามหน้าที่ บันทึกการเข้าถึง การเข้ารหัส และการทบทวนสิทธิ์เมื่อคนออก — คำว่าเหมาะสมในกฎหมายวัดจากสิ่งที่อธิบายได้
• เรื่องร้องเรียนของลูกค้าต้องมีทะเบียนและมีคนปิด — คดีแรกมีร้องเรียน 23 รายก่อนโดนปรับ การเพิกเฉยต่อสัญญาณคือส่วนหนึ่งของความผิด