UPDATE – 20th May 2020: The Personal Data Protection Act (PDPA), due to go into effect on the 27th of May 2020 has been postponed for another full year by the Thai government. We will update this page as more details are released. PDPA refers to the Personal Data Protection Act of 2019. Regarded as Thailand’s very own adaptation of the GDPR, the data privacy regulations of this act pertain to the same key points of rights of data, data controlling and non-compliance penalties. The act was published on the 27th of May 2019 through Thailand’s Government Gazette. However, its operational provisions are only set to go into effect on the 27th of May 2020, a full year since the PDPA was first published. Though the core ideals behind this act are very similar to those of GDPR, it’s very important that companies operating within Thailand take the initiative to remain informed and up to date on PDPA provisions, non-compliance penalties, as well as the obligations and liberties of data controllers.
อัพเดตเกี่ยวกับพรบ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) – 20 พฤษภาคม 2563: ที่ประชุมคณะรัฐมนตรี (ครม.) มีมติอนุมัติในหลักการร่างพระราชกฤษฎีกา จากเดิมที่จะมีผลบังคับใช้ในวันที่ 27 พ.ค. 2563 นี้ ให้ขยายออกไปอีก 1 ปี PDPA คือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (Personal Data Protection Act of 2019) ซึ่งถือได้ว่า พ.ร.บ.ดังกล่าว มาจากการดัดแปลงมาจากหลักกฎหมาย GDPR ว่าด้วยเรื่องกฎหมายข้อมูลส่วนบุคคล ว่าด้วยเรื่องความเหมาะสมของเรื่องสิทธิของผู้ถูกจัดเก็บ เรื่องในการจัดเก็บข้อมูล และเรื่องบทลงโทษหากไม่ปฏิบัติตาม พระราชบัญญัติได้รับการประกาศลงราชกิจจานุเบกษา ณ วันที่ 27 พฤษภาคม พ.ศ. 2562 แต่ถึงกระนั้นก็ดี ผลของพ.ร.บ. ฉบับดังกล่าว จะเริ่มใช้บังคับในวันที่ 27 พฤษภาคม พ.ศ. 2563 หรือหนึ่งปีนับแต่วันที่ได้ประกาศลงราชกิจจานุเบกษา ถึงแม้หัวใจหลักของพ.ร.บ. นี้จะมีความใกล้เคียงกับ GDPR แต่ถือว่ามีความสำคัญสำหรับบริษัทที่เปิดกิจการในประเทศไทยอย่างสูงที่ต้องเริ่มเตรียมรับอัพเดทกับบทบัญญัติข้อมูลส่วนบุคคล บทลงโทษหากไม่ปฏิบัติตาม รวมถึงอิสระในการใช้ข้อมูล หน้าที่ ความรับผิดต่อข้อมูลของผู้ควบคุมข้อมูลส่วนบุคคล
The PDPA sets regulations for how personal data is collected and used. This applies to all businesses located in Thailand, regardless of whether the data was collected or distributed outside the country. The PDPA also applies to businesses located outside the kingdom, if a few conditions are met:
There are six lawful bases that must be met in every act of collecting or using data in order to remain PDPA compliant. All other cases that these lawful bases do not cover, will require the data subject’s consent for collection, usage, and disclosure of the personal data. The lawful purposes are:
Certain criteria must be met for the data subject’s consent to be considered valid:
The privacy notice serves the purpose of keeping data subjects informed of when their data is collected and the purpose it’s used for. The data controller must provide the data subject with a privacy notice prior to or by the time the Personal Data is collected. The notice must include the following information:
A data controller is required to notify the Office of any data breach affecting Personal Data within 72 hours after becoming aware of it. If the breach is likely to pose a high risk to the rights and freedom of the data subject, the data subject must also be notified without delay.
A data controller has a duty to keep Personal Data secure, including the following:
In the event that a data controller sends or transfers Personal Data to a foreign country, the destination country that receives such Personal Data shall have adequate data protection standards, unless an exemption is met (e.g. a consent from the data subject is obtained for the transfer of the Personal Data to a country which the data protection standard that is not adequate, or the transfer is for compliance with the law). The guideline on adequate data protection standard is yet to be issued.
A violation of the PDPA could result in civil liability, criminal liability and administrative fines. For example, a data controller who collects, uses or discloses the Personal Data without consent from the data subject (where consent is required) will be liable.
พ.ร.บ.ข้อมูลส่วนบุคคลวางหลักกฎหมายสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลและนำมาใช้ หลักกฎหมายดังกล่าวนั้น ไม่ว่าข้อมูลนั้นจะถูกจัดเก็บหรือมาจากภายนอกประเทศก็ตาม พ.ร.บ.ข้อมูลส่วนบุคคลยังสามารถนำมาปรับใช้กับกิจการที่จัดตั้งภายนอกราชอาณาจักรได้ หากเป็นไปตามเงื่อนไข
ในพ.ร.บ. จะมีฐานทางกฎหมาย 6 ประการ โดยการจัดเก็บข้อมูลหรือนำมาใช้นั้น ต้องเป็นไปตามฐานทางกฎหมาย เพื่อจะได้ไม่ขัดต่อ พ.ร.บ.ข้อมูลส่วนบุคคล ในกรณีอื่นที่ฐานทางกฎหมายไม่ครอบคลุม จำเป็นต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลเสียก่อน สำหรับการจัดเก็บ นำไปใช้ และเปิดเผย วัตถุประสงค์ที่ชอบด้วยกฎหมายคือ:
ความยินยอมจากเจ้าของข้อมูลจะถือว่าสมบูรณ์ได้ต่อเมื่อเข้าหลักเกณฑ์ดังนี้
การประกาศเรื่องความเป็นส่วนตัวมีจุดประสงค์เพื่อแจ้งเจ้าของข้อมูลเมื่อข้อมูลถูกจัดเก็บและวัตถุประสงค์ในการใช้ ผู้ควบคุมข้อมูลส่วนบุคคลจำเป็นต้องแสดงข้อความก่อน หรือ ในขณะที่มีการจัดเก็บข้อมูลส่วนบุคคล ข้อความประกาศจะต้องประกอบไปด้วยข้อมูลดังต่อไปนี้
ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งหน่วยงานสำหรับข้อมูลส่วนบุคคลใดๆ ก็ตามที่รั่วไหลออกไปภายใน 72 ชั่วโมงหลังจากที่ทราบ ถ้าการรั่วไหลมีโอกาสที่จะทำให้เกิดความเสี่ยงที่สูงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล เจ้าของข้อมูลจะต้องได้รับการแจ้งเตือนโดนทันทีด้วยเช่นกัน
ผู้ที่ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ที่จะต้องรักษาความปลอดภัยของข้อมูล ดังนี้
สำหรับผู้ควบคุมข้อมูลส่วนบุคคลที่ต้องส่งหรือโอนข้อมูลส่วนบุคคลไปให้ประเทศอื่น ประเทศปลายทางที่รับข้อมูลส่วนบุคคลจะต้องมีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอ (ในกรณี่ที่จะต้องส่งข้อมูลไปยังประเทศปลายทางที่ไม่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ จะต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลทราบก่อน)
ผู้ที่ละเมิดพ.ร.บ. การควบคุมข้อมูลส่วนบุคคล มีโอกาสที่จะโดนมาตรการลงโทษทางแพ่ง(ชดใช้สินไหมทดแทน) โทษทางอาญา(จำคุก) รวมถึงการบังคับชําระค่าปรับตามกฎหมายหรือคําสั่งศาล ตัวอย่างเช่น ผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บข้อมูล ใช้หรือเปิดเผยข้อมูลโดยที่เจ้าของข้อมูลไม่ยินยอม อาจโดนบังคับชําระค่าปรับตามกฎหมายโดยจำนวนค่าปรับจะขึ้นอยู่กับความเสียหายที่เกิดขึ้นกับเจ้าของข้อมูล
We at Manatal are committed to deliver the tools required by today’s talent acquisition professionals--not solely to hire top talents, but also to support compliance throughout every region.
ทางมานาตัล มุ่งมั่นที่จะส่งมอบเครื่องมือที่จำเป็นต้องใช้สำหรับกลุ่มผู้เชี่ยวชาญด้านการสรรหาบุคลากร และเราไม่ได้หยุดอยู่ที่การจ้างงานกลุ่มผู้ที่มีศักยภาพอันโดดเด่นเท่านั้น แต่ยังให้ความสำคัญกับการช่วยสนับสนุนการปฏิบัติตามข้อกำหนดตลอดทั่วทุกภูมิภาคอีกด้วย
As personal data privacy, yours as well as that of your candidates, is of the utmost importance to us, our platform was designed to simplify and ease compliance to PDPA regulations. To that end, we’ve included features that help Manatal users meet the specific requirements set by the PDPA. Our goal is to provide you with the tools necessary to adhere to data privacy laws and regulations, and remain informed of the various rights accorded to yourself and your candidates as you recruit.
Manatal supports your PDPA compliance by allowing you to:
ไม่ว่าจะเป็นข้อมูลส่วนบุคคลของคุณหรือของผู้สมัครก็ล้วนแล้วแต่มีความสำคัญกับเราเป็นอย่างยิ่ง ซอฟต์แวร์ของเราได้ถูกออกแบบมาเพื่อช่วยให้ทำงานง่ายขึ้นและเป็นไปตามข้อบังคับของพ.ร.บ.ข้อมูลส่วนบุคคลอีกด้วย ด้วยเหตุนี้ เราได้รวบรวมฟีเจอร์ต่างๆ ที่ช่วยให้การทำงานของผู้ใช้งานมานาตัลเป็นไปตามข้อกำหนดเฉพาะที่ถูกวางโดยพ.ร.บ. ฉบับนี้ เป้าหมายของเรา คือ การมอบเครื่องมือที่จำเป็นต่อการปฏิบัติตามกฎหมายและข้อบังคับว่าด้วยเรื่องข้อมูลส่วนบุคคล และยังคงแจ้งคุณให้ทราบถึงสิทธิต่างๆ ที่คุณมี รวมถึงผู้สมัครที่คุณสรรหามา มานาตัลสนับสนุนการปฏิบัติตาม พ.ร.บ โดยการ: