PDPA สำหรับร้านค้าและคลินิกเล็ก ต้องทำอะไรบ้าง อัปเดตกฎใหม่ปี 2026

ธุรกิจเล็กจำนวนมากเข้าใจว่า PDPA เป็นเรื่องของบริษัทใหญ่เท่านั้น ความจริงคือกฎหมายนี้ใช้กับทุกคนที่เก็บข้อมูลส่วนบุคคล ไม่ว่าจะเป็นร้านที่เก็บเบอร์ลูกค้าไว้แจ้งโปรโมชัน หรือคลินิกที่เก็บประวัติการรักษา

ในปี 2026 มีประกาศเพิ่มเติมเรื่องสิทธิ์ในการขอเข้าถึงข้อมูล ซึ่งกำหนดกรอบเวลาให้องค์กรต้องตอบกลับ ทำให้ธุรกิจต้องเตรียมตัวมากขึ้นกว่าเดิม

ข้อมูลแบบไหนที่เข้าข่าย

• ข้อมูลทั่วไป — ชื่อ เบอร์โทร อีเมล ที่อยู่ เลขบัตรประชาชน
• ข้อมูลอ่อนไหว — ข้อมูลสุขภาพ ประวัติการรักษา ศาสนา ข้อมูลชีวภาพอย่างลายนิ้วมือและใบหน้า

กลุ่มหลังมีข้อกำหนดเข้มกว่ามาก คลินิก ร้านนวด และธุรกิจความงามจึงต้องระวังเป็นพิเศษ เพราะเก็บข้อมูลสุขภาพโดยธรรมชาติของงาน

สิ่งที่ต้องมีอย่างน้อยที่สุด

• นโยบายความเป็นส่วนตัว บอกว่าเก็บอะไร เก็บทำไม เก็บนานแค่ไหน และใครเข้าถึงได้บ้าง
• การขอความยินยอมที่ชัดเจน แยกเรื่องการใช้บริการออกจากการส่งโปรโมชัน
• ระบบรักษาความปลอดภัย อย่างน้อยต้องกำหนดสิทธิ์ว่าใครดูข้อมูลส่วนไหนได้
• ช่องทางให้ลูกค้าติดต่อเมื่อต้องการขอดู แก้ไข หรือลบข้อมูลของตัวเอง
• บันทึกว่ามีใครขออะไรมาบ้าง และเราตอบอย่างไร

กฎใหม่ที่ต้องรู้ในปี 2026

มีประกาศเพิ่มเรื่องการใช้สิทธิ์ขอเข้าถึงและขอสำเนาข้อมูลส่วนบุคคล โดยกำหนดให้ผู้ควบคุมข้อมูลต้องดำเนินการภายในกรอบเวลาที่กำหนดคือ 30 วัน และต้องเก็บบันทึกการดำเนินการไว้เป็นหลักฐาน

ในทางปฏิบัติแปลว่า ถ้าลูกค้าเดินเข้ามาขอดูว่าคุณเก็บข้อมูลอะไรของเขาไว้บ้าง คุณต้องหาให้เจอและตอบได้ภายในเวลาที่กำหนด ซึ่งจะทำไม่ได้เลยถ้าข้อมูลกระจายอยู่ในสมุด ไลน์ และไฟล์ Excel หลายไฟล์

นี่คือเหตุผลเชิงปฏิบัติที่ธุรกิจควรรวมข้อมูลลูกค้าไว้ที่เดียว ไม่ใช่แค่เพื่อความสะดวก แต่เพราะกฎหมายเริ่มกำหนดกรอบเวลาให้ตอบแล้ว

เริ่มจาก 3 อย่างนี้ก่อน

หนึ่ง ทำรายการว่าตอนนี้คุณเก็บข้อมูลอะไรของลูกค้าไว้บ้าง และเก็บไว้ที่ไหน แค่ขั้นนี้ขั้นเดียวธุรกิจส่วนใหญ่ก็ตกใจแล้วว่าข้อมูลกระจายอยู่หลายที่เกินคาด

สอง ลบสิ่งที่ไม่จำเป็นทิ้ง ข้อมูลที่ไม่ได้เก็บคือข้อมูลที่ไม่มีวันรั่ว สาม เขียนนโยบายความเป็นส่วนตัวสั้นๆ ติดไว้หน้าร้านและใส่ในเว็บ

ข้อจำกัดของบทความนี้

เนื้อหานี้เป็นความเข้าใจทั่วไปเพื่อให้เห็นภาพรวม ไม่ใช่คำแนะนำทางกฎหมาย ถ้าธุรกิจของคุณเก็บข้อมูลอ่อนไหวจำนวนมาก โดยเฉพาะสถานพยาบาล ควรปรึกษาผู้เชี่ยวชาญด้าน PDPA โดยตรงเพื่อตรวจสอบให้ครบถ้วน