PDPA บังคับใช้กับเว็บไซต์ของเราไหม ใช้ ในเกือบทุกกรณี

กฎหลักครอบคลุมธุรกิจส่วนใหญ่โดยอัตโนมัติ มาตรา 5 วรรคหนึ่งใช้บังคับกับการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมหรือผู้ประมวลผลข้อมูลที่อยู่ในประเทศไทย ไม่ว่าการประมวลผลจริงจะเกิดที่ไหนก็ตาม ถ้าบริษัทจดทะเบียนหรือตั้งอยู่ในไทยและมีเว็บไซต์ที่เก็บข้อมูลส่วนบุคคล ธุรกิจคุณอยู่ในขอบเขตของกฎหมายนี้แล้ว

เกณฑ์บังคับใช้ข้ามพรมแดนก็ครอบคลุมเว็บไซต์ต่างชาติที่มีผู้ใช้คนไทย ถ้าผู้ควบคุมหรือผู้ประมวลผลอยู่นอกประเทศไทย มาตรา 5 วรรคสองยังใช้บังคับกับการประมวลผลข้อมูลของเจ้าของข้อมูลที่อยู่ในไทย ถ้าเข้าเงื่อนไขข้อใดข้อหนึ่ง คือเสนอสินค้าหรือบริการให้บุคคลนั้นในประเทศไทย ไม่ว่าจะมีการจ่ายเงินหรือไม่ หรือติดตามพฤติกรรมของบุคคลนั้นที่เกิดขึ้นในประเทศไทย นี่คือเกณฑ์ที่ทำให้เว็บไซต์ต่างชาติที่มีผู้เยี่ยมชมหรือลูกค้าคนไทยถูกบังคับใช้ด้วย ผลตามมาตามมาตรา 37(5) คือต้องแต่งตั้งตัวแทนในประเทศไทยเป็นลายลักษณ์อักษร โดยไม่มีการจำกัดความรับผิด มีข้อยกเว้นแคบ ๆ จากหน้าที่แต่งตั้งตัวแทนนี้ตามมาตรา 38 สำหรับหน่วยงานรัฐหรือธุรกิจที่ไม่เกี่ยวข้องกับข้อมูลอ่อนไหวตามมาตรา 26 และไม่ได้ถือข้อมูลส่วนบุคคล 'จำนวนมาก' ตามที่คณะกรรมการประกาศกำหนด งานวิจัยของเราไม่สามารถยืนยันตัวเลขที่แน่นอนของเกณฑ์ 'จำนวนมาก' นี้ได้ จึงไม่ระบุตัวเลขไว้ในหน้านี้ ควรให้ทนายตรวจสอบเทียบกับปริมาณข้อมูลจริงของธุรกิจคุณ

ไม่มีข้อยกเว้นสำหรับเจ้าของธุรกิจรายเดียวหรือบริษัทไทยที่ต่างชาติเป็นเจ้าของ กฎหมายบังคับกับบุคคลธรรมดาหรือนิติบุคคลที่ทำหน้าที่เป็นผู้ควบคุมหรือผู้ประมวลผลเหมือนกันทุกกรณี ข้อยกเว้นส่วนตัวเดียวตามมาตรา 4(1) ครอบคลุมเฉพาะการเก็บข้อมูลเพื่อประโยชน์ส่วนตัวหรือกิจกรรมในครัวเรือนเท่านั้น ไม่รวมถึงเจ้าของธุรกิจรายเดียวที่ทำเว็บไซต์เชิงพาณิชย์ เพราะนั่นคือกิจกรรมทางธุรกิจ ไม่ใช่การใช้งานส่วนตัวหรือในครัวเรือน

ไม่มีข้อยกเว้นทั่วไปสำหรับธุรกิจขนาดเล็กด้วยเช่นกัน ข้อผ่อนปรนจริงมีแค่การยกเว้นการจัดทำบันทึกรายการประมวลผล (RoPA) ตามมาตรา 39 และหน้าที่คู่กันของผู้ประมวลผลในมาตรา 40(3) สำหรับผู้ที่เข้าเกณฑ์ 'องค์กรขนาดเล็ก' ตามประกาศของ สคส. ข้อยกเว้นนี้ใช้ไม่ได้ถ้าธุรกิจต้องมี DPO ตามกฎหมาย การประมวลผลมีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล การประมวลผลไม่ใช่ลักษณะที่เกิดขึ้นเป็นครั้งคราว หรือมีการประมวลผลข้อมูลอ่อนไหวตามมาตรา 26 ส่วนตัวเลขจำนวนพนักงานและรายได้ที่ใช้กำหนด 'องค์กรขนาดเล็ก' อยู่ในกฎกระทรวงอีกฉบับที่งานวิจัยของเรายังยืนยันไม่ชัดพอจะเผยแพร่เป็นข้อเท็จจริง จึงไม่ใส่ตัวเลขไว้ในหน้านี้ ควรให้ทนายตรวจสอบตัวเลขของธุรกิจคุณเทียบกับกฎกระทรวงฉบับจริง

คดีแรกที่ยืนยันได้ เมื่อ 21 สิงหาคม 2024 รวมสามความผิดเข้าด้วยกัน ผู้ค้าปลีกออนไลน์เอกชนรายหนึ่งถูกปรับรวม THB 7,000,000 จากการไม่มี DPO ทั้งที่ถือข้อมูลลูกค้ากว่า 100,000 คน (มาตรา 41 ผ่านมาตรา 82 ปรับสูงสุด THB 1,000,000) มาตรการความปลอดภัยไม่เพียงพอจนถูกกลุ่มคอลเซ็นเตอร์หลอกลวงนำข้อมูลลูกค้าไปใช้ (มาตรา 37(1) ผ่านมาตรา 83 ปรับสูงสุด THB 3,000,000) และไม่แจ้งเหตุรั่วไหลต่อ สคส. ภายในเวลาที่กำหนด (มาตรา 37 ผ่านมาตรา 83 ปรับสูงสุด THB 3,000,000 เช่นกัน)

ถึงวันที่ 1 สิงหาคม 2025 รายงานของสำนักงานกฎหมายฉบับหนึ่งระบุว่ามีคดีเพิ่มอีกอย่างน้อย 5 คดีในการประกาศครั้งเดียว รวมประมาณ THB 14.5 ล้านในรอบนั้น ทำให้ยอดค่าปรับรวมของ สคส. ตั้งแต่เริ่มบังคับใช้เกินกว่า THB 21 ล้าน คดีที่มีชื่อระบุ ได้แก่ หน่วยงานรัฐและผู้ให้บริการซอฟต์แวร์ หลังข้อมูลรั่วไหลประมาณ 200,000 รายการจากมาตรการความปลอดภัยที่อ่อนแอและไม่มีสัญญาประมวลผลข้อมูล โรงพยาบาลเอกชนและผู้รับจ้างภายนอก จากการจัดการเวชระเบียนผิดพลาดและแจ้งเหตุล่าช้า บริษัทเครื่องสำอางถูกปรับ THB 2.5 ล้านจากข้อมูลรั่วไหลที่ถูกกลุ่มมิจฉาชีพนำไปใช้ และบริษัทของเล่นกับผู้ประมวลผลข้อมูลถูกปรับรวมกัน THB 3.5 ล้าน จากระบบจองที่รั่วไหลข้อมูลประมาณ 200,000 รายการ ตัวเลขที่ต่ำกว่า 1 ล้านในรอบนี้เป็นตัวเลขประมาณจากรายงานสรุป ยังไม่ได้ยืนยันกับคำวินิจฉัยฉบับเต็มของ สคส. เอง

รูปแบบที่พบในทุกคดีที่ยืนยันได้เหมือนกันหมด คือข้อมูลรั่วไหลจริงที่ก่อความเสียหายจริง ส่วนใหญ่ถูกนำไปใช้ในการหลอกลวงหรือฉ้อโกง ประกอบกับการไม่มี DPO การแจ้งเหตุล่าช้าหรือไม่แจ้ง หรือมาตรการความปลอดภัยที่อ่อนแอ ไม่มีคดีใดในงานวิจัยของเราที่เป็นการปรับเพียงเพราะข้อความบนคุกกี้แบนเนอร์หรือรูปแบบประกาศความเป็นส่วนตัวโดยไม่มีข้อมูลรั่วไหลจริงเกิดขึ้น ความเสี่ยงจริงจึงอยู่ที่ความปลอดภัย การมี DPO และการแจ้งเหตุ ไม่ใช่ข้อความบนแบนเนอร์

มาตรา 23 กำหนดไว้ชัดเจนว่าประกาศความเป็นส่วนตัวต้องมีอะไรบ้าง โดยต้องแจ้งให้เจ้าของข้อมูลรู้ก่อนหรือขณะเก็บข้อมูล เว้นแต่เขารู้อยู่แล้ว ตรวจเว็บไซต์ของคุณเทียบกับหกข้อนี้ได้เลยตอนนี้

• 01

  เก็บไปทำไม วัตถุประสงค์ในการเก็บ ใช้ หรือเปิดเผยข้อมูล รวมถึงวัตถุประสงค์ที่อาศัยฐานไม่ต้องขอ consent ตามมาตรา 24

• 02

  ต้องให้ข้อมูลหรือไม่ การให้ข้อมูลเป็นเรื่องที่กฎหมายหรือสัญญากำหนดไว้หรือไม่ และจะเกิดอะไรถ้าไม่ให้

• 03

  เก็บอะไร นานแค่ไหน ข้อมูลที่เก็บ และระยะเวลาการเก็บรักษา หรือมาตรฐานการเก็บรักษาที่ใช้ ถ้าให้ระยะเวลาที่แน่นอนไม่ได้

• 04

  ใครอีกที่จะเห็นข้อมูล ประเภทของบุคคลหรือหน่วยงานที่อาจได้รับการเปิดเผยข้อมูล

• 05

  ติดต่อใครได้ ข้อมูลติดต่อของคุณเอง รวมถึงตัวแทนหรือ DPO ถ้ามี

• 06

  สิทธิของเจ้าของข้อมูล แจ้งสิทธิอย่างชัดเจน ทั้งการถอน consent การเข้าถึงข้อมูล การโอนย้ายข้อมูล การคัดค้าน การลบ การจำกัดการใช้ การแก้ไขให้ถูกต้อง และการร้องเรียน

เราอ่านตัวบทกฎหมายทั้ง 96 มาตราโดยตรงเพื่อทำหน้านี้ และคำว่า cookie ไม่ปรากฏอยู่เลยแม้แต่ครั้งเดียว ประเทศไทยไม่มีกฎหมายลักษณะ ePrivacy ควบคู่กับ PDPA แบบที่สหภาพยุโรปมี การปฏิบัติตามกฎหมายเรื่องคุกกี้ในไทยจึงเป็นการนำกฎ consent และ legitimate interest ทั่วไปของตัวบทมาปรับใช้กับคุกกี้ ไม่ใช่ระบบเฉพาะที่กำหนดรูปแบบแบนเนอร์ไว้

มาตรา 19 กำหนด consent เป็นกฎหลัก คือห้ามเก็บ ใช้ หรือเปิดเผยข้อมูลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูล เว้นแต่มีมาตราอื่นอนุญาตไว้ มาตรา 24(5) เป็นหนึ่งในมาตราเหล่านั้น ให้ผู้ควบคุมข้อมูลข้ามการขอ consent ได้ถ้าการประมวลผลนั้น 'จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมาย' เว้นแต่ประโยชน์นั้นถูกลบล้างด้วยสิทธิขั้นพื้นฐานของเจ้าของข้อมูล ซึ่งมีโครงสร้างใกล้เคียงกับมาตรา 6(1)(f) ของ GDPR

ส่วนที่ว่าการเก็บข้อมูลวิเคราะห์ทั่วไปหรือ ad pixel อย่าง Google Analytics หรือ Meta Pixel จะอาศัยมาตรา 24(5) ได้หรือต้องขอ consent ตามมาตรา 19 นั้นยังไม่มีข้อสรุปในตัวบท และเราไม่พบประกาศของ สคส. ที่ตอบคำถามนี้ตรง ๆ ไปทางใดทางหนึ่ง ผู้ขายคุกกี้แบนเนอร์หลายรายยืนยันตรง ๆ ว่ามีแต่คุกกี้ที่จำเป็นจริง ๆ เท่านั้นที่ข้าม consent ได้ แต่ไม่มีรายใดอ้างอิงประกาศของ สคส. ที่ระบุแบบนั้นไว้จริง และพวกเขาก็ขายแบนเนอร์ที่คำตอบนั้นบอกว่าคุณต้องมี นั่นไม่ได้พิสูจน์ว่าพวกเขาผิด แต่เป็นเหตุผลให้มองว่าเป็นคำกล่าวอ้างเชิงการค้า ไม่ใช่กฎหมายที่ชัดเจนแล้ว จนกว่าทนายหรือ สคส. จะตอบให้ชัด

แนวทางที่ระมัดระวังในทางปฏิบัติ ในขณะที่เรื่องนี้ยังไม่มีข้อสรุป คือคุกกี้ที่ใช้เพื่อการทำงานพื้นฐานหรือ session โดยไม่มีตัวระบุตัวบุคคล ถือเป็นกรณีความเสี่ยงต่ำที่สุด ส่วนคุกกี้หรือ pixel ใดที่เชื่อมพฤติกรรมการใช้งานกับตัวบุคคลที่ระบุได้ รวมถึงผ่านบุคคลที่สามอย่าง Google หรือ Meta ถือเป็นกรณีความเสี่ยงสูงกว่า และการขอ consent ในกรณีนั้นเป็นทางเลือกที่ระมัดระวัง ไม่ใช่กฎที่เรายืนยันว่าเป็นกฎหมายแน่นอน ควรปรึกษาทนายด้านข้อมูลส่วนบุคคลในไทยสำหรับการตั้งค่าของเว็บไซต์คุณเองก่อนตัดสินใจ

มีแค่สองเรื่องในตัวบทที่กำหนดจำนวนวันไว้ชัดเจน คำขอเข้าถึงข้อมูลที่ถูกต้องตามมาตรา 30 ต้องตอบภายใน 30 วัน และถ้าปฏิเสธต้องบันทึกเหตุผลไว้ ถ้าเก็บข้อมูลมาจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลเอง มาตรา 25 กำหนดให้ต้องแจ้งภายใน 30 วันนับจากวันเก็บข้อมูล หรือแจ้งตั้งแต่การติดต่อครั้งแรกหรือการเปิดเผยครั้งแรก ถ้าเกิดขึ้นเร็วกว่านั้น

สิทธิอื่นทั้งหมดไม่มีกำหนดเวลาระบุไว้ การคัดค้าน รวมถึงการคัดค้านการตลาดโดยตรง (มาตรา 32) กำหนดให้ต้องแยกเก็บข้อมูลนั้นทันทีเมื่อมีการคัดค้าน แต่ไม่มีจำนวนวันสำหรับการตอบสนองแบบเต็มรูป การลบทำลายหรือทำให้ไม่ระบุตัวบุคคล (มาตรา 33) และการจำกัดการใช้ (มาตรา 34) ก็ไม่มีกำหนดเวลาเช่นกัน ถ้าไม่ปฏิบัติตามคำขอที่ถูกต้อง ทางแก้คือร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ ซึ่งมีอำนาจสั่งให้ปฏิบัติตามได้ การแก้ไขข้อมูลให้ถูกต้อง (มาตรา 35 ถึง 36) ก็เป็นรูปแบบเดียวกัน ไม่มีกำหนดเวลา แต่ต้องบันทึกเหตุผลถ้าปฏิเสธ ส่วนการโอนย้ายข้อมูล (มาตรา 31) ไม่มีกำหนดเวลาระบุไว้เลย

นี่คือความต่างที่ตรวจสอบได้จริงจาก GDPR ซึ่งให้กำหนดเวลาตอบสนองหนึ่งเดือนเท่ากันทุกสิทธิตามมาตรา 12(3) การเข้าใจว่าทุกคำขอภายใต้ PDPA มีกำหนดเวลาหนึ่งเดือนแบบ GDPR เหมือนกันหมด เป็นความเข้าใจผิดที่พบได้บ่อยและควรแก้ไข เพราะมีแค่คำขอเข้าถึงข้อมูลและการแจ้งเหตุเก็บข้อมูลจากบุคคลที่สามเท่านั้นที่มีกำหนดเวลาจริง

มาตรา 37(4) กำหนดให้ผู้ควบคุมข้อมูลแจ้งเหตุข้อมูลส่วนบุคคลรั่วไหลต่อสำนักงาน สคส. โดยไม่ชักช้า และเท่าที่จะสามารถทำได้ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่การรั่วไหลนั้นไม่มีความเสี่ยงที่จะกระทบต่อสิทธิและเสรีภาพของบุคคล

ถ้าการรั่วไหลมีความเสี่ยงสูงที่จะกระทบต่อสิทธิและเสรีภาพ ต้องแจ้งเจ้าของข้อมูลที่ได้รับผลกระทบด้วย พร้อมมาตรการเยียวยาที่ได้ดำเนินการ โดยไม่ชักช้าเช่นกัน แต่ไม่มีกรอบเวลา 72 ชั่วโมงกำกับการแจ้งครั้งนี้ มีแต่คำว่า 'โดยไม่ชักช้า' เท่านั้น

หน้าที่ของผู้ประมวลผลข้อมูลแคบกว่านั้น คือต้องแจ้งผู้ควบคุมข้อมูลเมื่อพบเหตุรั่วไหล (มาตรา 40(2)) ผู้ประมวลผลไม่ต้องแจ้ง สคส. โดยตรง หน้าที่นั้นเป็นของผู้ควบคุมข้อมูลเท่านั้น

เว็บไซต์เกือบทุกแห่งส่งข้อมูลออกนอกประเทศโดยไม่รู้ตัว ผ่านเครื่องมือวิเคราะห์ แพลตฟอร์มโฆษณา หรือโฮสติ้งต่างประเทศ มาตรา 28 กำหนดว่าผู้ควบคุมข้อมูลจะส่งข้อมูลส่วนบุคคลไปยังปลายทางที่คณะกรรมการเห็นว่ามีมาตรฐานการคุ้มครองข้อมูลเพียงพอเท่านั้น เว้นแต่เข้าข้อยกเว้นเฉพาะ เช่น กฎหมายกำหนดให้ต้องทำ เจ้าของข้อมูลให้ consent หลังได้รับแจ้งว่าปลายทางมีมาตรฐานไม่เพียงพอ จำเป็นเพื่อปฏิบัติตามสัญญากับเจ้าของข้อมูลหรือดำเนินการตามคำขอก่อนทำสัญญา จำเป็นตามสัญญากับบุคคลที่สามเพื่อประโยชน์ของเจ้าของข้อมูล จำเป็นเพื่อป้องกันอันตรายต่อชีวิต ร่างกาย หรือสุขภาพเมื่อเจ้าของข้อมูลไม่อยู่ในสถานะให้ consent ได้ หรือเพื่อประโยชน์สาธารณะที่สำคัญ

มาตรา 29 เปิดทางเลือกสำหรับการส่งข้อมูลภายในกลุ่มบริษัท ผ่านนโยบายคุ้มครองข้อมูลส่วนบุคคลที่ผ่านการตรวจสอบและรับรองจากสำนักงาน คล้ายกับ binding corporate rules ของ GDPR หรือถ้าไม่มีทั้งการรับรองความเพียงพอและนโยบายที่ได้รับการรับรอง ก็ใช้ 'มาตรการคุ้มครองที่เหมาะสม' ที่รับประกันสิทธิและการเยียวยาที่บังคับใช้ได้จริงตามที่คณะกรรมการกำหนด สคส. ออกประกาศเรื่องการส่งข้อมูลข้ามพรมแดนเมื่อเดือนธันวาคม 2023 โดยกำหนดวันที่ต้องปฏิบัติตามคือ 24 มีนาคม 2024

สิ่งที่งานวิจัยของเรายืนยันไม่ได้ และไม่อยากเดา คือคณะกรรมการได้ประกาศรายชื่อประเทศที่มีมาตรฐาน 'เพียงพอ' ที่ครอบคลุมสหภาพยุโรปหรือสหรัฐอเมริกาหรือไม่ ซึ่งสำคัญมากถ้าเว็บไซต์คุณใช้ Google Analytics โฆษณาบน Meta หรือโฮสต์อยู่ต่างประเทศ นี่เป็นคำถามเปิดที่ยังไม่มีคำตอบชัดเจนทั้งสองทาง และเป็นเรื่องที่ควรนำไปปรึกษาทนายด้านข้อมูลส่วนบุคคลในไทยสำหรับรายชื่อผู้ให้บริการเฉพาะของคุณ ไม่ควรเดาเอาจากบทความใด รวมถึงหน้านี้เอง

นี่ไม่ใช่การจัดอันดับว่ากฎหมายใดเข้มกว่ากันโดยรวม แต่เป็นจุดที่หยิบเช็กลิสต์ของ GDPR มาใช้กับธุรกิจไทยตรง ๆ แล้วจะผิดพลาด

• 01

  ค่าปรับเป็นเพดานตายตัว ไม่ผูกกับรายได้ PDPA จำกัดเพดานที่ THB 5,000,000 ต่อมาตรา ส่วน GDPR อาจสูงถึง 20 ล้านยูโร หรือ 4% ของรายได้ทั่วโลก แล้วแต่จำนวนใดสูงกว่า ธุรกิจไทยขนาดเล็กเจอตัวเลขที่น้อยกว่าในทางสมบูรณ์ แต่ก็ยังอาจกระทบธุรกิจได้อย่างรุนแรง

• 02

  ความรับผิดทางอาญาส่วนบุคคลมีจริงในกฎหมายนี้ มาตรา 81 อาจทำให้กรรมการหรือผู้จัดการถูกจำคุกได้ถึง 1 ปี ถ้าความผิดเกิดจากคำสั่งของตนหรือการไม่สั่งการให้ปฏิบัติตาม ส่วน GDPR ให้เรื่องโทษอาญาเป็นเรื่องของกฎหมายในแต่ละประเทศสมาชิกสหภาพยุโรป และไม่มีข้อกำหนดแบบมาตรา 81 นี้อยู่ในตัวเอง

• 03

  มีค่าเสียหายเพื่อการลงโทษ จำกัดไม่เกิน 2 เท่า มาตรา 78 ให้ศาลไทยกำหนดค่าเสียหายเพิ่มได้ถึงสองเท่าของค่าเสียหายจริง ส่วนมาตรา 82 ของ GDPR ให้เฉพาะค่าเสียหายตามความเป็นจริงเท่านั้น ไม่มีตัวคูณเพื่อการลงโทษ

• 04

  ไม่มีกฎหมายคุกกี้เฉพาะควบคู่กับ PDPA สหภาพยุโรปมีระบบ ePrivacy เฉพาะซ้อนอยู่บน GDPR พร้อมแนวปฏิบัติเรื่องแบนเนอร์คุกกี้ที่ชัดเจนกว่า การปฏิบัติตามกฎหมายเรื่องคุกกี้ในไทยยังไม่มีข้อสรุปทางกฎหมายชัดเจนเท่ากัน

• 05

  กำหนดเวลาไม่เท่ากันทุกสิทธิ GDPR ให้เวลาหนึ่งเดือนเท่ากันทุกสิทธิ ส่วน PDPA ให้ 30 วันเฉพาะการเข้าถึงข้อมูลและการแจ้งเหตุเก็บจากบุคคลที่สามเท่านั้น ส่วนการลบ จำกัดการใช้ คัดค้าน และโอนย้ายข้อมูล ไม่มีกำหนดเวลาระบุไว้

สรุปจากสถิติการบังคับใช้จริงและหัวข้อด้านบน ไม่ใช่เช็กลิสต์ทั่วไปที่ก็อปมาจากที่อื่น

• 01

  มีคุกกี้แบนเนอร์แล้วคิดว่าครบแล้ว ทุกคดีที่ สคส. ลงโทษจริงจนถึงตอนนี้เกิดจากปัญหาเชิงเนื้อหา ข้อมูลรั่วไหล ไม่มี DPO แจ้งเหตุล่าช้า ไม่ใช่ปัญหาข้อความบนแบนเนอร์

• 02

  คิดว่า 'เราเล็กเกินกว่าจะถูกบังคับใช้' ข้อผ่อนปรนจริงมีแค่การยกเว้นบันทึกรายการประมวลผลอย่างเป็นทางการ ไม่เกี่ยวกับ consent ความปลอดภัย หรือการแจ้งเหตุรั่วไหล และเจ้าของธุรกิจรายเดียวที่ทำเว็บไซต์เชิงพาณิชย์ก็ไม่ได้รับการยกเว้นเพื่อประโยชน์ส่วนตัวเช่นกัน

• 03

  พูดว่า 'ปรับสูงสุด 5 ล้านบาท' เหมือนเป็นเพดานตายตัวต่อเหตุการณ์ คดีแรกที่ยืนยันได้มีค่าปรับรวมถึง 7 ล้านบาทแล้ว จากการรวมค่าปรับสามมาตราในเหตุการณ์เดียว

• 04

  คิดว่า Google Analytics และ ad pixel ใช้ได้แน่นอนภายใต้ 'legitimate interest' เรื่องนี้ยังไม่มีข้อสรุปว่ามาตรา 24(5) ครอบคลุมหรือไม่ และการส่งข้อมูลนั้นออกนอกประเทศก็เป็นอีกคำถามหนึ่งภายใต้มาตรา 28 ที่ต้องพิจารณาแยกกัน

• 05

  มองข้ามกำหนดเวลาสองเรื่องที่มีจริง เพราะไปคิดว่ามีกำหนดเวลาหนึ่งเดือนแบบ GDPR ครอบคลุมทุกเรื่อง ทั้งที่มีแค่คำขอเข้าถึงข้อมูลและการแจ้งเหตุเก็บข้อมูลจากบุคคลที่สามเท่านั้นที่มีกำหนด 30 วันจริง