พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

พระราชบัญญัติฉบับนี้มีชื่อว่า พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (PDPA) เป็นกฎหมายหลักว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลในประเทศไทย

กฎหมายมีผลบังคับใช้ตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษา แต่บทบัญญัติบางหมวดมีระยะเวลาเตรียมความพร้อมก่อนมีผลบังคับ

หากมีกฎหมายเฉพาะว่าด้วยการคุ้มครองข้อมูลในกิจการใดอยู่แล้ว ให้ใช้กฎหมายนั้นก่อน แต่ PDPA ยังบังคับเพิ่มเติมในด้านสิทธิเจ้าของข้อมูล การร้องเรียน และอำนาจพนักงานเจ้าหน้าที่

PDPA ไม่ใช้บังคับกับ 6 กรณียกเว้น ได้แก่ การใช้ข้อมูลส่วนตน/ครอบครัว หน่วยงานความมั่นคงของรัฐ สื่อมวลชน รัฐสภา ศาล และบริษัทข้อมูลเครดิต แต่ผู้ที่ได้รับยกเว้นยังต้องรักษาความมั่นคงปลอดภัยของข้อมูลตามมาตรฐาน

PDPA ใช้บังคับแก่ผู้ควบคุม/ผู้ประมวลผลในราชอาณาจักรทุกกรณี และยังใช้บังคับแก่ผู้อยู่นอกราชอาณาจักรที่เสนอสินค้า/บริการแก่คนไทย หรือติดตามพฤติกรรมของเจ้าของข้อมูลในไทยด้วย

3 นิยามหลัก PDPA: (1) ข้อมูลส่วนบุคคล = ข้อมูลที่ระบุตัวบุคคลได้ (ชื่อ เลขบัตร อีเมล IP ฯลฯ) ไม่รวมคนตาย (2) ผู้ควบคุม (Controller) = ผู้ตัดสินใจเรื่องข้อมูล (3) ผู้ประมวลผล (Processor) = ผู้ทำตามคำสั่ง controller

รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมเป็นผู้รักษาการตามพระราชบัญญัตินี้ และมีอำนาจแต่งตั้งพนักงานเจ้าหน้าที่เพื่อปฏิบัติการ

คณะกรรมการ PDPA ประกอบด้วย ประธานกรรมการ รองประธาน (ปลัดกระทรวงดิจิทัลฯ) กรรมการโดยตำแหน่ง 5 คน และกรรมการผู้ทรงคุณวุฒิ 9 คน โดยมีเลขาธิการเป็นกรรมการและเลขานุการ

กำหนดให้มีคณะกรรมการสรรหา 8 คน ทำหน้าที่คัดเลือกบุคคลเพื่อแต่งตั้งเป็นประธานกรรมการ PDPA

ในการสรรหาประธานกรรมการตามมาตรา ๘ (๑) หรือ กรรมการผู้ทรงคุณวุฒิตามมาตรา ๘ (๔) ให้คณะกรรมการสรรหาคัดเลือกบุคคลผู้มี คุณสมบัติตามมาต...

กำหนดให้ผู้ยินยอมเสนอชื่อเข้ารับการคัดเลือกมีจำนวนเท่ากับจำนวนประธานกรรมการที่ต้องการ

ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิมีวาระ 4 ปี ดำรงตำแหน่งได้ไม่เกิน 2 วาระ และให้อยู่ต่อได้จนกว่าจะมีการแต่งตั้งคนใหม่

หลักเกณฑ์และวิธีการสรรหาประธานกรรมการและกรรมการผู้ทรงคุณวุฒิต้องเป็นไปตามที่คณะรัฐมนตรีประกาศกำหนด โดยคำนึงถึงความโปร่งใสและความเป็นธรรม

การประชุมต้องมีกรรมการไม่น้อยกว่ากึ่งหนึ่งเป็นองค์ประชุม ลงมติด้วยเสียงข้างมาก ประธานมีเสียงชี้ขาด และอาจประชุมทางอิเล็กทรอนิกส์ได้

กรรมการที่มีส่วนได้เสียในเรื่องที่พิจารณาต้องแจ้งคณะกรรมการล่วงหน้าก่อนการประชุม และห้ามเข้าร่วมพิจารณาเรื่องนั้น

คณะกรรมการมีอำนาจหน้าที่ 13 ประการ ครอบคลุมการจัดทำแผนแม่บท ออกประกาศ ให้คำแนะนำ ตีความ ส่งเสริมความรู้ และสนับสนุนการวิจัยด้านการคุ้มครองข้อมูลส่วนบุคคล

ประธาน รองประธาน และกรรมการได้รับเบี้ยประชุมตามที่คณะรัฐมนตรีกำหนด ส่วนอนุกรรมการและกรรมการผู้เชี่ยวชาญได้รับตามที่คณะกรรมการกำหนดโดยความเห็นชอบของกระทรวงการคลัง

คณะกรรมการมีอำนาจแต่งตั้งคณะอนุกรรมการเพื่อพิจารณาหรือปฏิบัติงานตามที่มอบหมาย โดยใช้หลักเกณฑ์การประชุมตามที่กำหนด

หลักสำคัญที่สุดของ PDPA: ต้องได้ความยินยอม (consent) ก่อนเก็บ/ใช้/เปิดเผยข้อมูล ความยินยอมต้อง: ชัดแจ้ง, เป็นหนังสือ/อิเล็กทรอนิกส์, แจ้งวัตถุประสงค์, แยกส่วนจากข้อความอื่น, ถอนได้ง่ายเท่าให้

หากเจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ที่ยังไม่บรรลุนิติภาวะ การขอความยินยอมต้องได้รับจากผู้แทนโดยชอบธรรมด้วย

ผู้ควบคุมต้องดำเนินการตามวัตถุประสงค์ที่แจ้งไว้เท่านั้น หากต้องการเปลี่ยนวัตถุประสงค์ต้องแจ้งและรับความยินยอมใหม่ หรือมีบทบัญญัติกฎหมายรองรับ

เก็บข้อมูลได้เท่าที่จำเป็นเท่านั้น: ต้องมีวัตถุประสงค์ชอบด้วยกฎหมาย ห้ามเก็บเกินกว่าที่ต้องใช้ ฝ่าฝืน → ปรับ ≤ 3 ล้าน

ต้องแจ้ง Privacy Notice 6 รายการก่อนเก็บข้อมูล: วัตถุประสงค์ เหตุจำเป็น ระยะเวลาเก็บ ใครเห็นข้อมูล ช่องทางติดต่อ สิทธิ 8 ประการ ไม่แจ้ง → ปรับ ≤ 1 ล้าน

เก็บข้อมูลได้โดยไม่ต้อง consent ใน 6 กรณี: (1) ประวัติศาสตร์/วิจัย (2) ป้องกันอันตรายชีวิต (3) ปฏิบัติตามสัญญา (4) ภารกิจสาธารณะ (5) ประโยชน์โดยชอบ (Legitimate Interest) (6) ปฏิบัติตามกฎหมาย ฐาน Legitimate Interest ใช้บ่อยสุดในธุรกิจ

ห้ามซื้อ/ขอข้อมูลจากแหล่งอื่น: ต้องเก็บจากเจ้าของข้อมูลเท่านั้น เว้นแต่มีฐานกฎหมาย ม.24 ถ้าเก็บจากแหล่งอื่น → ต้องแจ้งภายใน 30 วัน

ข้อมูลอ่อนไหว (Sensitive Data) ห้ามเก็บเด็ดขาด เว้นแต่ได้ explicit consent: เชื้อชาติ ความเชื่อทางศาสนา/การเมือง พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ข้อมูลชีวภาพ (ลายนิ้วมือ/ใบหน้า) — คุ้มครองเข้มกว่าข้อมูลทั่วไป

ห้ามใช้/เปิดเผยข้อมูลนอกวัตถุประสงค์ที่แจ้ง: ต้องมี consent หรือฐานกฎหมาย ม.24/26 ใช้นอกวัตถุประสงค์ → ปรับ ≤ 3 ล้าน

ส่งข้อมูลไปต่างประเทศ → ประเทศปลายทางต้องมีมาตรฐานคุ้มครองข้อมูลเพียงพอ (adequate) สำคัญสำหรับธุรกิจที่ใช้ cloud ต่างประเทศ หรือส่งข้อมูลลูกค้าให้บริษัทแม่ในต่างประเทศ

ผู้ควบคุมในไทยสามารถโอนข้อมูลส่วนบุคคลไปยังเครือกิจการในต่างประเทศได้โดยได้รับการยกเว้น หากนโยบายคุ้มครองข้อมูล (BCR) ได้รับการตรวจสอบและรับรองจากสำนักงาน PDPA แล้ว

สิทธิถอน consent: เจ้าของข้อมูลถอนได้ทุกเมื่อ ต้องถอนง่ายเท่ากับตอนให้ (ถ้าให้ทางเว็บ ต้องถอนทางเว็บได้) การถอนไม่มีผลย้อนหลัง — สิ่งที่ทำไปแล้วก่อนถอนยังชอบด้วยกฎหมาย

Data Portability: ขอรับข้อมูลในรูปแบบ machine-readable + ขอโอนไปผู้ควบคุมรายอื่นได้ เช่น ย้ายข้อมูลจาก app A ไป app B

สิทธิคัดค้าน: ปฏิเสธ direct marketing ได้ทันที คัดค้าน legitimate interest ได้หากสิทธิสำคัญกว่า ไม่ดำเนินการ → ร้องเรียนคณะกรรมการผู้เชี่ยวชาญ

สิทธิขอลบ (Right to Erasure/Right to be Forgotten): ขอลบได้เมื่อ (1) หมดความจำเป็น (2) ถอน consent แล้ว (3) คัดค้าน ผู้ควบคุมต้องลบภายในเวลาอันสมควร ถ้าเปิดเผยให้คนอื่นแล้วต้องแจ้งให้ลบด้วย

ระงับการใช้ข้อมูล: ยังไม่ลบ แต่ห้ามใช้ระหว่างตรวจสอบ/แก้ไข/พิสูจน์ หรือเก็บไว้เพื่อต่อสู้คดี ไม่ดำเนินการ → ร้องเรียน

ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องดูแลให้ข้อมูลที่เก็บรักษาไว้มีความถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด หน้าที่นี้เกี่ยวข้องกับคุณภาพของข้อมูลที่ผู้ควบคุมต้องรับผิดชอบ

ข้อมูลผิด? ขอแก้ได้: ผู้ควบคุมต้องทำข้อมูลให้ถูกต้อง เป็นปัจจุบัน สมบูรณ์ ปฏิเสธ → ต้องบันทึกเหตุผล + เจ้าของร้องเรียนได้

หน้าที่ผู้ควบคุมข้อมูล: (1) จัดมาตรการรักษาความปลอดภัย (2) ป้องกันคนอื่นใช้ข้อมูลมิชอบ (3) ลบข้อมูลเมื่อพ้นกำหนด หากเกิด data breach ต้องแจ้ง สคส. ภายใน 72 ชั่วโมง (ม.37(4))

มาตรา 38 กล่าวถึงบทบัญญัติเกี่ยวกับการแต่งตั้งตัวแทนตามที่กำหนดในพระราชบัญญัตินี้ เนื้อหาอ้างอิงถึงมาตราอื่นที่เกี่ยวข้องกับการมอบอำนาจแต่งตั้งตัวแทน

มาตรา 39 แสดงโครงสร้างหมวดหมู่ทั้งหมดของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ครอบคลุม 7 หมวดหลักและบทเฉพาะกาล ตั้งแต่คณะกรรมการ การคุ้มครองข้อมูล สิทธิเจ้าของข้อมูล ไปจนถึงบทกำหนดโทษ

Processor ต้อง: ทำตามคำสั่ง controller เท่านั้น รักษาความปลอดภัย แจ้งเหตุ breach ทำตัวเอง → กลายเป็น controller ปรับ ≤ 3 ล้าน

ต้องตั้ง DPO: หน่วยงานรัฐ / ธุรกิจที่ใช้ข้อมูลจำนวนมาก / เก็บ sensitive data จ้างภายนอกได้ ไม่ตั้ง → ปรับ ≤ 1 ล้าน

มาตรา 42 กำหนดหน้าที่ 4 ประการของ DPO ได้แก่ ให้คำแนะนำ ตรวจสอบการดำเนินงาน ประสานงานกับสำนักงาน และรักษาความลับ ผู้ควบคุมต้องสนับสนุน DPO และห้ามเลิกจ้าง DPO เพราะเหตุปฏิบัติหน้าที่ตาม PDPA

มาตรา 43 จัดตั้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เป็นหน่วยงานรัฐมีฐานะนิติบุคคล ไม่ใช่ส่วนราชการหรือรัฐวิสาหกิจ กิจการไม่อยู่ใต้บังคับกฎหมายแรงงานทั่วไป แต่พนักงานต้องได้รับสิทธิประโยชน์ไม่น้อยกว่ากฎหมายแรงงานกำหนด

มาตรา 44 กำหนดหน้าที่และอำนาจเพิ่มเติมของสำนักงานนอกเหนือจากวัตถุประสงค์ที่กำหนดไว้ในมาตราก่อน อ้างอิงถึงบทบัญญัติอื่นในพระราชบัญญัติ

มาตรา 45 กำหนดเรื่องการดำเนินงานของสำนักงานในส่วนที่เพิ่มเติมจากหน้าที่และอำนาจที่ระบุไว้ในมาตราก่อนหน้า อ้างอิงถึงบทบัญญัติอื่นในพระราชบัญญัติ

มาตรา 46 กำหนดองค์ประกอบของทุนและทรัพย์สินในการดำเนินงานของสำนักงาน โดยมีทุนประเดิมที่รัฐบาลจัดสรรและรายได้อื่นตามที่กฎหมายกำหนด

มาตรา 47 กำหนดหลักเกณฑ์เกี่ยวกับอสังหาริมทรัพย์ที่สำนักงานได้มาจากการซื้อหรือแลกเปลี่ยนโดยใช้รายได้ของสำนักงาน อ้างอิงถึงหลักเกณฑ์ที่กำหนดในมาตราก่อน

มาตรา 48 จัดตั้งคณะกรรมการกำกับสำนักงาน ประกอบด้วยประธานกรรมการ ปลัดกระทรวงดิจิทัล เลขาธิการดิจิทัลแห่งชาติ และกรรมการผู้ทรงคุณวุฒิ 6 คน โดยมีเลขาธิการเป็นกรรมการและเลขานุการ

มาตรา 49 กำหนดให้มีคณะกรรมการสรรหา 8 คน ซึ่งคณะกรรมการแต่งตั้ง ทำหน้าที่คัดเลือกบุคคลที่เหมาะสมเป็นประธานกรรมการและกรรมการผู้ทรงคุณวุฒิ

มาตรา 50 กำหนดหลักเกณฑ์และขั้นตอนการสรรหาประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตามที่อ้างอิงในมาตราก่อน

ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตามมาตรา ๔๘ มีวาระการดำรงตำแหน่งคราวละสี่ปี มื่ นึ่ ตั้ เมื่อครบกำหนดตามวาระในวรรคหนึ่ง ให้ดำเ...

มาตรา 52 กำหนดวิธีปฏิบัติในกรณีที่ประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิพ้นตำแหน่งก่อนครบวาระ อ้างอิงถึงหลักเกณฑ์ที่กำหนดในมาตราก่อน

มาตรา 53 กำหนดองค์ประชุมไม่น้อยกว่ากึ่งหนึ่ง มติใช้เสียงข้างมาก ประธานมีเสียงชี้ขาดกรณีเสมอกัน กรรมการที่มีส่วนได้เสียร่วมประชุมไม่ได้ และอาจประชุมทางอิเล็กทรอนิกส์ได้

มาตรา 54 กำหนดหน้าที่ 8 ประการของคณะกรรมการกำกับสำนักงาน ได้แก่ กำหนดนโยบาย ออกข้อบังคับ อนุมัติแผนงบประมาณ ควบคุมบริหาร แต่งตั้งคณะกรรมการสรรหา วินิจฉัยอุทธรณ์ ประเมินผล และปฏิบัติหน้าที่อื่นตามกฎหมาย

มาตรา 55 ให้อำนาจคณะกรรมการกำกับสำนักงานแต่งตั้งคณะอนุกรรมการเพื่อปฏิบัติหน้าที่ตามที่มอบหมาย และอาจแต่งตั้งผู้เชี่ยวชาญเป็นที่ปรึกษาได้ โดยจำนวนและการปฏิบัติหน้าที่เป็นไปตามที่คณะกรรมการกำหนด

มาตรา 56 กำหนดให้ประธานกรรมการ กรรมการกำกับสำนักงาน ที่ปรึกษา ประธานอนุกรรมการ และอนุกรรมการ ได้รับเบี้ยประชุมหรือค่าตอบแทนตามหลักเกณฑ์ที่คณะกรรมการกำหนดโดยความเห็นชอบของกระทรวงการคลัง

มาตรา 57 กำหนดให้มีเลขาธิการสำนักงานหนึ่งคน ซึ่งคณะกรรมการกำกับสำนักงานแต่งตั้งตามหลักเกณฑ์และวิธีการสรรหาที่คณะกรรมการกำหนด มีหน้าที่บริหารกิจการของสำนักงาน

มาตรา 58 กำหนดคุณสมบัติเลขาธิการ 3 ข้อ: (1) สัญชาติไทย (2) อายุ 35-60 ปี (3) มีความรู้ความสามารถและประสบการณ์ด้านภารกิจสำนักงานและการบริหารจัดการ

กำหนดลักษณะต้องห้าม 8 ประการสำหรับผู้จะดำรงตำแหน่งเลขาธิการ ครอบคลุมการล้มละลาย ไร้ความสามารถ เคยต้องโทษจำคุก เป็นข้าราชการ หรือเคยถูกไล่ออกเพราะทุจริต

เลขาธิการมีวาระ 4 ปี ดำรงตำแหน่งได้ไม่เกิน 2 วาระ และต้องสรรหาเลขาธิการใหม่ก่อนครบวาระไม่น้อยกว่า 30 วัน

กำหนดให้มีการประเมินผลการปฏิบัติงานของเลขาธิการทุกปีตามระยะเวลาและวิธีการที่คณะกรรมการกำกับสำนักงานกำหนด

ห้ามเลขาธิการเป็นผู้มีส่วนได้เสียในกิจการที่เกี่ยวข้องกับสำนักงาน ไม่ว่าทางตรงหรือทางอ้อม

กำหนดหน้าที่และอำนาจ 6 ประการของเลขาธิการ ตั้งแต่บริหารงาน วางระเบียบ บังคับบัญชาพนักงาน จนถึงการแต่งตั้งรองเลขาธิการ โดยรับผิดชอบตรงต่อคณะกรรมการกำกับสำนักงาน

เลขาธิการเป็นผู้แทนสำนักงานในกิจการที่เกี่ยวกับบุคคลภายนอก และสามารถมอบอำนาจให้ผู้อื่นปฏิบัติงานแทนได้ตามข้อบังคับที่กำหนด

คณะกรรมการกำกับสำนักงานเป็นผู้กำหนดอัตราเงินเดือนและประโยชน์ตอบแทนของเลขาธิการ ตามหลักเกณฑ์ที่คณะรัฐมนตรีกำหนด

เลขาธิการมีอำนาจขอข้าราชการหรือเจ้าหน้าที่รัฐมาปฏิบัติงานชั่วคราว และเมื่อสิ้นสุดระยะเวลาให้มีสิทธิกลับสู่ตำแหน่งเดิมโดยนับระยะเวลาสำหรับบำเหน็จบำนาญด้วย

ข้าราชการที่อยู่ระหว่างชดใช้ทุนการศึกษาและย้ายมาปฏิบัติงานที่สำนักงาน ให้นับเวลาในสำนักงานเป็นการชดใช้ทุนตามสัญญา

การจัดทำบัญชีของสำนักงานต้องเป็นไปตามหลักสากล ตามแบบและหลักเกณฑ์ที่คณะกรรมการกำกับสำนักงานกำหนด

สำนักงานต้องจัดทำงบการเงินส่งผู้สอบบัญชีภายใน 120 วันนับแต่วันสิ้นปีบัญชี โดยให้สำนักงานการตรวจเงินแผ่นดินหรือผู้สอบบัญชีที่ได้รับความเห็นชอบทำหน้าที่

สำนักงานต้องจัดทำรายงานประจำปีภายใน 180 วันนับแต่วันสิ้นปีบัญชี เผยแพร่ต่อสาธารณชน และให้บุคคลภายนอกที่ได้รับความเห็นชอบเป็นผู้ประเมินผลการดำเนินงาน

คณะกรรมการมีอำนาจแต่งตั้งคณะกรรมการผู้เชี่ยวชาญหนึ่งหรือหลายคณะตามความเชี่ยวชาญ โดยคุณสมบัติและวาระให้เป็นไปตามที่คณะกรรมการประกาศกำหนด

คณะกรรมการผู้เชี่ยวชาญมีอำนาจพิจารณาเรื่องร้องเรียน ตรวจสอบการกระทำของผู้ควบคุมและผู้ประมวลผลข้อมูล รวมทั้งไกล่เกลี่ยข้อพิพาทเกี่ยวกับข้อมูลส่วนบุคคล

บทบัญญัติว่าด้วยกระบวนการร้องเรียนตามมาตรานี้ (ข้อความในฉบับนี้ไม่ครบถ้วน)

กำหนดแนวทางกรณีที่ผู้ร้องเรียนไม่ได้ปฏิบัติถูกต้องตามระเบียบที่กำหนด (ข้อความในฉบับนี้ไม่ครบถ้วน)

คณะกรรมการผู้เชี่ยวชาญมีอำนาจสั่งให้บุคคลใดส่งเอกสารหรือข้อมูล รวมทั้งสั่งให้มาชี้แจงข้อเท็จจริงเกี่ยวกับเรื่องร้องเรียนหรือการคุ้มครองข้อมูลส่วนบุคคล

พนักงานเจ้าหน้าที่มีอำนาจเรียกเอกสาร ตรวจสอบข้อเท็จจริง และขอศาลอนุญาตเข้าสถานที่เพื่อรวบรวมหลักฐาน รวมทั้งต้องแสดงบัตรประจำตัวในการปฏิบัติหน้าที่

ความรับผิดทางแพ่ง PDPA: รับผิดแม้ไม่จงใจ (strict liability) + ศาลสั่ง Punitive Damages ได้สูงสุด 2 เท่าของค่าเสียหายจริง เช่น เสียหาย 1 ล้าน → ศาลสั่งจ่ายได้ถึง 3 ล้าน

ศาลมีอำนาจสั่งค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มได้ไม่เกินสองเท่าของความเสียหายจริง และสิทธิเรียกร้องขาดอายุความเมื่อพ้น 3 ปีนับแต่รู้ถึงความเสียหาย หรือ 10 ปีนับแต่การละเมิด

ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา ๒๗ วรรคหนึ่ง หรือวรรคสอง หรือไม่ปฏิบัติตามมาตรา ๒๘ อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา ๒๖...

ผู้ที่ล่วงรู้ข้อมูลส่วนบุคคลจากการปฏิบัติหน้าที่แล้วเปิดเผยแก่ผู้อื่น มีโทษจำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 500,000 บาท ยกเว้น 5 กรณีที่บัญญัติไว้

เมื่อนิติบุคคลกระทำความผิด กรรมการหรือผู้จัดการที่สั่งการหรือละเว้นไม่สั่งการจนเป็นเหตุให้กระทำผิดต้องรับโทษในฐานะส่วนตัวด้วย

ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดไม่ปฏิบัติตามมาตรา ๒๓

กำหนดโทษทางปกครองสำหรับผู้ควบคุมข้อมูลส่วนบุคคลที่ฝ่าฝืนหรือไม่ปฏิบัติตามบทบัญญัติที่กำหนด (ข้อความในฉบับนี้ไม่ครบถ้วน)

ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา ๒๖ วรรคหนึ่ง หรือวรรคสาม หรือฝ่าฝืนมาตรา ๒๗ วรรคหนึ่งหรือวรรคสอง หรือมาตรา ๒๘ อันเกี่ยวกั...

ผู้ประมวลผลข้อมูลส่วนบุคคลผู้ใดไม่ปฏิบัติตามมาตรา ๔๑ วรรคหนึ่ง หรือมาตรา ๔๒ วรรคสองหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกิน หน...

ผู้ประมวลผลข้อมูลส่วนบุคคลผู้ใดไม่ปฏิบัติตามมาตรา ๔๐ โดยไม่มีเหตุอันควรหรือส่งหรือโอนข้อมูลส่วนบุคคลโดยไม่เป็นไปตามมาตรา ๒๙ วรรค ห...

กำหนดโทษสำหรับผู้ประมวลผลข้อมูลส่วนบุคคลที่ส่งหรือโอนข้อมูลโดยไม่ถูกต้องตามบทบัญญัติที่กำหนด (ข้อความในฉบับนี้ไม่ครบถ้วน)

กำหนดโทษสำหรับตัวแทนของผู้ควบคุมหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่ไม่ปฏิบัติตามบทบัญญัติที่กำหนด (ข้อความในฉบับนี้ไม่ครบถ้วน)

กำหนดโทษสำหรับผู้ที่ไม่ปฏิบัติตามคำสั่งของคณะกรรมการผู้เชี่ยวชาญหรือไม่มาชี้แจงข้อเท็จจริงตามที่กำหนด (ข้อความในฉบับนี้ไม่ครบถ้วน)

โทษ PDPA มี 3 ระดับ: ปกครอง (ปรับสูงสุด 5 ล้าน), แพ่ง (ค่าเสียหาย + punitive 2x), อาญา (จำคุก 6 เดือน–1 ปี / ปรับ 500K–1M สำหรับใช้ sensitive data โดยมิชอบ) คณะกรรมการอาจตักเตือนก่อนปรับ

บทเฉพาะกาลว่าด้วยการจัดตั้งคณะกรรมการในวาระเริ่มแรกก่อนที่บทบัญญัติปกติจะมีผลบังคับ (ข้อความในฉบับนี้ไม่ครบถ้วน)

ให้ดำเนินการจัดตั้งคณะกรรมการกำกับสำนักงานภายใน 90 วันนับแต่วันที่มีการแต่งตั้งประธานกรรมการ (ข้อความในฉบับนี้ไม่ครบถ้วน)

บทเฉพาะกาลมาตรา 93 (ข้อความไม่ครบถ้วนในฉบับนี้ — ปรากฏเฉพาะโครงสร้างสารบัญของกฎหมาย)

กำหนดประเภทรายได้ของสำนักงาน ได้แก่ เงินอุดหนุนรัฐบาล เงินอุดหนุนจากหน่วยงานอื่น ค่าธรรมเนียม และดอกผล โดยต้องนำส่งคลังเป็นรายได้แผ่นดิน

บทเฉพาะกาลมาตรา 95 (ข้อความไม่ครบถ้วนในฉบับนี้)

พระราชบัญญัตินี้ให้ใช้บังคับเมื่อพ้นกำหนดหนึ่งปีนับแต่วันประกาศในราชกิจจานุเบกษา