ข้อมูลส่วนบุคคล (Personal Data) คือ ข้อมูลที่สามารถระบุตัวตนของบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม เช่น ชื่อ-นามสกุล, เลขบัตรประชาชน, ที่อยู่, เบอร์โทรศัพท์, อีเมล, รูปถ่าย, ข้อมูลการเงิน และข้อมูลบนโลกออนไลน์ (IP address, Cookie ID) รวมถึงข้อมูลละเอียดอ่อน (Sensitive Data) เช่น ประวัติสุขภาพ พันธุกรรม ศาสนา 

ประเภทของข้อมูลส่วนบุคคล

ข้อมูลส่วนบุคคลทั่วไป: ข้อมูลที่ระบุตัวตนได้ทั่วไป เช่น ชื่อ, ที่อยู่, เบอร์โทรศัพท์, อีเมล, วันเกิด, เลขที่บัญชีธนาคาร, ทะเบียนรถยนต์, ข้อมูลการศึกษา

ข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Data): ข้อมูลที่ต้องคุ้มครองเป็นพิเศษตามมาตรา 26 แห่ง PDPA เช่น เชื้อชาติ, เผ่าพันธุ์, ความคิดเห็นทางการเมือง, ความเชื่อทางศาสนาหรือปรัชญา, พฤติกรรมทางเพศ, ประวัติอาชญากรรม, ข้อมูลสหภาพแรงงาน, ข้อมูลสุขภาพ, ข้อมูลพันธุกรรม และข้อมูลชีวภาพ (เช่น Face ID, ลายนิ้วมือ) 

สาระสำคัญภายใต้กฎหมาย PDPA

• การเก็บรวบรวม/ใช้/เปิดเผย: ต้องได้รับความยินยอม (Consent) จากเจ้าของข้อมูลและแจ้งวัตถุประสงค์ชัดเจน

• สิทธิของเจ้าของข้อมูล: มีสิทธิขอเข้าถึง แก้ไข ลบ หรือระงับการใช้ข้อมูลของตนเอง

• ขอบเขต: คุ้มครองข้อมูลของบุคคลธรรมดา (ไม่รวมข้อมูลคนตาย)

บุคคลสำคัญตาม PDPA

1. เจ้าของข้อมูลส่วนบุคคล (data Subject) คือ บุคคลที่ข้อมูลส่วนบุคคลสามารถระบุถึงตัวบุคคลนั้นได้ ซึ่งเป็นบุคคลธรรมดา ไม่รวมผู้ถึงแก่กรรมและนิติบุคคล

2. ผู้ควบคุมข้อมูลส่วนบุคคล (data Controller) คือ บุคคลหรือนิติบุคคลที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล เช่น กำหนดวัตถุประสงค์ วิธีการประมวลผล วิธีใช้ประโยชน์จากข้อมูลส่วนบุคคล

3. ผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) คือ บุคคลหรือนิติบุคคลที่ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งไม่ใช่พนักงานหรือส่วนหนึ่งของผู้ควบคุมข้อมูลส่วนบุคคล

4. เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (data protection officer : DPO) คือ บุคคลที่ได้รับมอบหมายเพื่อทำหน้าที่ให้คำแนะนำ ประสานงาน และตรวจสอบการคุ้มครองข้อมูลส่วนบุคลของหน่วยงานให้เป็นไปตามกฎหมาย

มาตรการในการรักษาความปลอดภัย

1. ควบคุมการเข้าถึงข้อมูลและอุปกรณ์ในการจัดเก็บและประมวลผลข้อมูลส่วนบุคคล
2. กำหนดและจำกัดสิทธิการเข้าถึงข้อมูลส่วนบุคคล
3. กำหนดหน้าที่และความรับผิดชอบผู้ใช้งานเพื่อป้องกันการเข้าถึงข้อมูลโดยไม่ชอบด้วยกฎหมาย
4. กำหนดกระบวนการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล
5. ตรวจสอบการเข้าถึงข้อมูลส่วนบุคคลย้อนหลัง มีระบบป้องกันการโจมตีจากบุคคลภายนอก