แนวข้อสอบ พรบ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

• มาตรา 35 ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการให้ข้อมูลส่วนบุคคลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด (สิทธิในการแก้ไขข้อมูลส่วนบุคคลนี้ แม้จะไม่มีการร้องขอ แต่ก็ถือเป็นหน้าที่ตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลที่จะต้องดำเนินการให้ข้อมูลส่วนบุคคลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด

• มาตรา 44 (6) หน้าที่ของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

มาตรา 4 วรรคสอง ต้องตราเป็นพระราชกฤษฎีกา

• มาตรา 19 วรรคห้า เจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเมื่อใดก็ได้ ถือเป็นหลักการสำคัญ เป็นการคุ้มครองสิทธิของเจ้าของข้อมูล

มาตรา 6 “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

มาตรา 33 วรรคสอง เป็นกรณีจำกัดสิทธิ ทำให้ไม่สามารถใช้สิทธิลบข้อมูลส่วนบุคคลได้ ถ้าเป็นข้อมูลส่วนบุคคลที่มีวัตถุประสงค์ดังนี้
1. เป็นข้อมุลเกี่ยวกับเสรีภาพในการแสดงความคิดเห็น
2. เป็นข้อมูลตามมาตรา 24 (1) เอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ การศึกษาวิจัยหรือสถิติ
3. เป็นข้อมูลตามมาตรา 24 (4) เพื่อปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะ หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐ
4. เป็นข้อมูลตามมาตรา 26 (5) (ก) เวชศาสตร์ป้องกันหรือาชีวเวชศาสตร์ การประเมินความสามารถในการทำงานของลูกจ้าง การวินิจฉัยโรคทางการแพทย์ ให้บริการด้านสุขภาพ สังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ ระบบและการให้บริการด้านสังคมสงเคราะห์
5. เป็นข้อมูลตามมาตรา 26 (5) (ข) ประโยชน์สาธารณะด้านการสาธารณสุข การป้องกันโรคติดต่อันตรายหรือโรคระบาด การควบคุมมาตรฐานหรือคุณภาพยา เวชภัณฑ์ เครื่องมือแพทย์
6. เป็นข้อมูลเกี่ยวกับการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย

• มาตรา 30 วรรคสอง เมื่อเจ้าของข้อมูลส่วนบุคคลขอเข้าถึงข้อมูลส่วนบุคคลแล้ว โดยหลักผู้ควบคุมข้อมูลส่วนบุคคลจะต้องปฏิบัติตามคำขอนั้น เว้นแต่เป็นการปฏิเสธตามกฎหมายหรือคำสั่งของศาล หรือจะส่งผลกระทบที่อาจก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่น

ต้องแนะนำเจ้าของข้อมูลส่วนบุคคล ให้ดำเนินการตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 33 วรรคสี่ ว่าหากผู้ควบคุมข้อมูลส่วนบุคคลไม่ดำเนินการลบฯ เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ เพื่อสั่งให้ดำเนินการได้

• มาตรา 79 วรรคหนึ่ง จำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 5 แสนบาท หรือทั้งจำทั้งปรับ

มาตรา 10 วรรคสาม นายกรัฐมนตรีมีหน้าที่ประกาศรายชื่อประธานและกรรมการผู้ทรงคุณวุฒิ ซึ่งได้รับแต่งตั้งจากคณะรัฐมนตรี

• มาตรา 76 (1) พนักงานเจ้าหน้าที่ มีหน้าที่ออกหนังสือแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล หรือผู้ใด มาให้ข้อมูล ส่งเอกสารหรือหลักฐานใดๆ เกี่ยวกับการดำเนินการหรือการกระทำความผิดตามกฎหมายนี้

• มาตรา 37 (4) ต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมง นับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้

• มาตรา 19 วรรคหก หากการถอนความยินยอมจะส่งผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลในเรื่องใด ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งให้เจ้าของข้อมูลทราบถึงผลกระทบจากการถอนความยินยอมนั้นด้วย

• มาตรา 30 วรรคหนึ่ง สิทธิในการเข้าถึงข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคลมีสิทธิ 1. ขอเข้าถึงข้อมูลส่วนบุคคลที่เกี่ยวกับตน 2. ขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตน และ 3. ขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลที่ตนไม่ได้ให้ความยินยอม

• มาตรา 84 และมาตรา 87 กำหนดอัตราโทษปรับทางปกครองไม่เกิน 5 ล้านบาท

• มาตรา 30 วรรคสี่ ไม่เกิน 30 วัน นับแต่วันที่ได้รับคำขอ

• มาตรา 78 วรรคหนึ่ง ศาลมีอำนาจสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล จ่ายค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มขึ้นจากจำนวนค่าสินไหมทดแทนที่แท้จริงตามที่ศาลเห็นสมควร แต่ไม่เกิน 2 เท่าของค่าสินไหมทดแทนที่แท้จริง

• มาตรา 37 (3) หน้าที่ของ ผู้ควบคุมข้อมูลส่วนบุคคล

• มาตรา 43 วรรคสี่ บัญญัติให้สำนักงานคณะกรรมการข้อมูลส่วนบุคคลเป็นหน่วยงานของรัฐตามกฎหมายว่าด้วยความรับผิดทางละเมิดของเจ้าหน้าที่

มาตรา 31 รับรองสิทธิการขอให้ส่งหรือโอนข้อมูลส่วนบุคคลที่อยู่ในรูปแบบที่สามารถอ่านหรือใช้งานได้โดยทั่วไป หรือโดยอัตโนมัติ หรือเป็นไฟล์อิเล็กทรอนิกส์ ไม่รวมถึงข้อมูลที่เก็บเป็นเอกสาร

Right to erasure หรือ Right to Forgotten คือ สิทธิในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้

•  มาตรา 30 วรรคสี่ เมื่อเป็นกรณีที่ไม่อาจปฏิเสธคำขอได้ ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการตามคำขอโดยไม่ชักช้า (แต่ต้องไม่เกิน 30 วัน นับแต่วันที่ได้รับคำขอ)

มาตรา 7 บัญญัติให้รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมรักษาการตามพระราชบัญญัตินี้ และให้มีอำนาจแต่งตั้งพนักงานเจ้าหน้าที่เพื่อปฏิบัติการตามพระราชบัญญัตินี้

การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุข เป็นกรณีมีความจำเป็นในการปฏิบัติตามกฎหมายนั้น ๆ ตามมาตรา 26 (5)

• สิทธิในการลบข้อมูลส่วนบุคคล มาตรา 33 บัญญัติให้เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคล ดำเนินการลบหรือทำลาย หรือทำให้เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้

• ข้อมูลส่วนบุคคลที่ไม่สมบูรณ์หรือไม่ถูกต้อง เจ้าของข้อมูลส่วนบุคคลสามารถขอให้แก้ไขข้อมูลส่วนบุคคลได้ จึงไม่ใช่เงื่อนไขในการใช้สิทธิลบข้อมูลส่วนบุคคล ซึ่งตัวเลือก ก. ค. และ ง. เป็นเงื่อนไขในการใช้สิทธิลบข้อมูลส่วนบุคคล ตามมาตรา 33 วรรคหนึ่ง

มาตรา 20 วรรคสอง ต้องขอความยินยอมจากผู้อนุบาลที่มีอำนาจกระทำการแทนคนไร้ความสามารถ

ผู้เยาว์ = ผู้ใช้อำนาจปกครอง
คนไร้ความสามารถ = ผู้อนุบาล
คนเสมือนไร้ความสามารถ = ผู้พิทักษ์

• มาตรา 82 ผู้ควบคุมข้อมูลส่วนบุคคลที่ไม่แจ้งผลกระทบจากการถอนความยินยอม มีโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

• มาตรา 72 (3) คณะกรรมการผู้เชี่ยวชาญมีหน้าที่และอำนาจไกล่เกลี่ยข้อพิพาทเกี่ยวกับข้อมูลส่วนบุคคล

• มาตรา 36 วรรคสอง ประกอบกับมาตรา 34 วรรคสอง หากผู้ควบคุมข้อมูลส่วนบุคคลไม่ดำเนินการแก้ไขข้อมูลส่วนบุคคลให้ถุกต้อง เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการแก้ไขได้

• มาตรา 71 วรรคหนึ่ง คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีอำนาจหน้าที่แต่งตั้งคณะกรรมการผู้เชี่ยวชาญในแต่ละเรื่อง

• มาตรา 80 วรรคหนึ่ง จำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 5 แสนบาท หรือทั้งจำทั้งปรับ

• มาตรา 42 (2) หน้าที่ของ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

• มาตรา 75 คณะกรรมการผู้เชี่ยวชาญมีอำนาจสั่งให้บุคคลใดส่งเอกสารหรือข้อมูลเกี่ยวกับเรื่องที่มีผู้ร้องเรียน หรือเรื่องอื่นใดที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล รวมทั้งสั่งให้บุคคลใดมาชี้แจงข้อเท็จจริงด้วยก็ได้

• มาตรา 90 วรรคหนึ่ง คณะกรรมการผู้เชี่ยวชาญมีอำนาจสั่งลงโทษปรับทางปกครอง… ในกรณีที่เห็นสมควร จะสั่งให้แก้ไขหรือตักเตือนก่อนก็ได้

มาตรา 19 วรรคสอง การขอความยินยอมต้องทำโดยชัดแจ้ง เป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์

• มาตรา 78 วรรคสอง อายุความไม่เกิน 3 ปี นับแต่วันที่ผู้เสียหายรู้ถึงความเสียหายและรู้ตัวผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่ต้องรับผิด หรือ 10 ปี นับแต่วันที่มีการละเมิดข้อมูลส่วนบุคคล

• สิทธิในการแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง (Right to Rectification) พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 35 และมาตรา 36 บัญญัติคุ้มครองสิทธิในการแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง หากเจ้าของข้อมูลส่วนบุคคลเห็นว่าข้อมูลส่วนบุคคลของตนไม่ถูกต้องหรือไม่สมบูรณ์ สามารถยื่นคำร้องขอแก้ไขข้อมูลส่วนบุคคลที่เกี่ยวกับตนได้

• มาตรา 82 ผู้ควบคุมข้อมูลส่วนบุคคลที่ไม่ปฏิบัติตามมาตรา 30 วรรคสี่ มีโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

• เพื่อป้องกันอันตรายต่อสุขภาพของบุคคล
• เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล
• การจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ

เป็นข้อยกเว้น ซึ่งผู้ควบคุมข้อมูลส่วนบุคคลสามารถเก็บรวบรวมข้อมูลส่วนบุคคลได้โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตามมาตรา 24

• มาตรา 58 (2) ต้องมีอายุไม่ต่ำกว่า 35 ปี แต่ไม่เกิน 60 ปี

• มาตรา 72 (1) คณะกรรมการผู้เชี่ยวชาญมีหน้าที่และอำนาจพิจารณาเรื่องร้องเรียนตามกฎหมายนี้

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกาศในราชกิจจานุเบกษา เล่ม 136 ตอนที่ 69 ก วันที่ 27 พฤษภาคม 2562 และมาตรา 2 บัญญัติให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษา หรือตั้งแต่วันที่ 28 พฤษภาคม 2562 เป็นต้นไป

หมายเหตุ พ.ร.บ. ฉบับนี้ บังคับใช้ตั้งแต่วันที่ 28 พฤษภาคม 2562 เป็นต้นไป ยกเว้นบทบัญญัติในหมวด 2 หมวด 3 หมวด 5 หมวด 6 หมวด 7 มาตรา 95 และมาตรา 96 ให้ใช้บังคับเมื่อพ้นกำหนด 1 ปี นับแต่วันประกาศในราชกิจจานุเบกษา และต่อมาได้ถูกเลื่อนการบังคับใช้ออกไปอีกถึงวันที่ 31 พฤษภาคม 2565 ซึ่งเป็นวันสุดท้าย ดังนั้นวันที่ 1 มิถุนายน 2565 ถือว่าเป็นการบังคับใช้กฎหมายโดยสมบูรณ์ทั้งฉบับ แต่ไม่ได้หมายความว่ากฎหมายฉบับนี้เริ่มใช้ตั้งแต่วันที่ 1 มิถุนายน 2565 เพราะบทบัญญัติที่ไม่ถูกยกเว้น บังคับใช้ตั้งแต่วันที่ 28 พฤษภาคม 2562 แล้ว

มาตรา 16 (3) เป็นหน้าที่และอำนาจของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

• มาตรา 30 วรรคสี่ เมื่อเป็นกรณีที่ไม่อาจปฏิเสธคำขอได้ ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการตามคำขอโดยไม่ชักช้า (แต่ต้องไม่เกิน 30 วัน นับแต่วันที่ได้รับคำขอ)