ข้อพิจารณาการประมวลผลข้อมูลส่วนบุคคลของลูกค้าในธุรกิจธนาคารพาณิชย์ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
Article Sidebar
Main Article Content
บทคัดย่อ
ธุรกิจธนาคารพาณิชย์เป็นธุรกิจประเภทหนึ่งที่มีการประมวลผลข้อมูลส่วนบุคคลของลูกค้าเป็นจำนวนมาก โดยภายหลังจากที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“PDPA”) มีผลใช้บังคับโดยสมบูรณ์ ธนาคารพาณิชย์หลายแห่งมีการกำหนดมาตรการและนโยบายในการประมวลผลข้อมูลส่วนบุคคลของลูกค้าเพื่อคุ้มครองข้อมูลส่วนบุคคลอย่างเคร่งครัด แต่ถึงอย่างไรก็ดี ในปัจจุบัน เนื่องจากการตีความตาม PDPA รวมถึงกฎหมายที่เกี่ยวข้องยังไม่มีคำพิพากษาของศาลที่ครอบคลุมในทุกประเด็นเป็นบรรทัดฐาน จึงทำให้ในทางปฏิบัติแล้วอาจเกิดปัญหาในการตีความและใช้ PDPA รวมถึงกฎหมายที่เกี่ยวข้องเพื่อดำเนินธุรกิจของธนาคารพาณิชย์ได้
ในบทความนี้ ผู้เขียนจึงจะหยิบยกและนำเสนอข้อพิจารณาหรือประเด็นที่น่าสนใจในเชิงปฏิบัติของการประมวลผลข้อมูลส่วนบุคคล (การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล) ของลูกค้าในธุรกิจของธนาคารพาณิชย์โดยพิจารณาตามฐานการประมวลผลข้อมูลตามกฎหมายของ PDPA ที่ผู้เขียนมีความคิดเห็นว่า ประเด็นที่จะนำเสนอในบทความนี้อาจถูกนำไปใช้พัฒนาและต่อยอดในการกำหนดแนวปฏิบัติหรือมาตรการการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าโดยธนาคารพาณิชย์ เพื่อให้ธนาคารพาณิชย์สามารถให้บริการลูกค้าได้อย่างมีประสิทธิภาพโดยที่ลูกค้าได้รับการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมายอย่างเต็มที่ หรือป้องกันปัญหาต่าง ๆ ที่อาจเกิดขึ้นได้ในอนาคต
Article Details
อนุญาตภายใต้เงื่อนไข Creative Commons Attribution-NonCommercial-NoDerivatives 4.0 International License.
ลิขสิทธิ์และเนื้อหาในเว็บไซต์ของวารสารกฎหมาย จุฬาลงกรณ์มหาวิทยาลัย (รวมถึง โดยไม่จำกัดเฉพาะ เนื้อหา รหัสคอมพิวเตอร์ งานศิลป์ ภาพถ่าย รูปภาพ ดนตรีกรรม โสตทัศนวัสดุ) เป็นกรรมสิทธิ์ของวารสารกฎหมาย และผู้ได้รับการโอนสิทธิทุกราย
1. วารสารกฎหมาย จุฬาลงกรณ์มหาวิทยาลัย ให้อนุญาตให้คุณใช้สิทธิอันไม่เฉพาะเจาะจงที่สามารถถูกถอนเมื่อใดก็ได้ โดยไม่มีค่าใช้จ่าย ในการ
- เยี่ยมชมเว็บไซต์และเอกสารในเว็บไซต์นี้ จากคอมพิวเตอร์หรือเครื่องมือสื่อสารผ่านเว็บบราวเซอร์
- คัดลอกและจัดเก็บเว็บไซต์และเอกสารในเว็บไซต์นี้บนลงคอมพิวเตอร์ของคุณผ่านระบบความจำ cache
- สั่งพิมพ์เอกสารจากเว็บไซต์นี้สำหรับการใช้ส่วนตัวของคุณ
- ผลงานที่ได้รับการตีพิมพ์โดยวารสารกฎหมาย จุฬาลงกรณ์มหาวิทยาลัย ถูกคุ้มครองภายใต้ Creative Commons Attribution 4.0 International License ซึ่งอนุญาตให้ทุกคนสามารถคัดลอก แจกจ่าย ดัดแปลง ส่งต่อ ผลงานได้ ก็ต่อเมื่อผลงานและแหล่งข้อมูลได้รับการอ้างอิงอย่างเหมาะสม
2. วารสารกฎหมาย จุฬาลงกรณ์มหาวิทยาลัย สงวนสิทธิ์ไม่อนุญาตให้คุณใช้สิทธิอื่นใดที่เกี่ยวข้องกับเว็บไซต์และเอกสารบนเว็บไซต์นี้ เช่น การคัดลอก ดัดแปลง เปลี่ยนแปลง ส่งต่อ ตีพิมพ์ แจกจ่าย เผยแพร่ จัดแสดงในที่สาธารณะ ไม่ว่าจะในรูปแบบใดก็ตาม ซึ่งเว็บไซต์หรือเอกสารบนเว็บไซต์ โดยไม่อ้างอิงถึงแหล่งข้อมูลหรือโดยไม่ได้รับอนุญาตเป็นลายลักษณ์อักษรจากวารสารกฎหมาย จุฬาลงกรณ์มหาวิทยาลัย
3. คุณอาจขออนุญาตที่จะใช้เอกสารอันมีลิขสิทธิ์บนเว็บไซต์นี้โดยการเขียนอีเมลมายัง journal@law.chula.ac.th
4. วารสารกฎหมาย จุฬาลงกรณ์มหาวิทยาลัย เข้มงวดกับการคุ้มครองลิขสิทธิ์อย่างมาก หากวารสารกฎหมาย จุฬาลงกรณ์มหาวิทยาลัยพบว่าคุณได้ใช้เอกสารอันมีลิขสิทธิ์บนเว็บไซต์นี้โดยไม่ถูกต้องตามการอนุญาตให้ใช้สิทธิ ดังที่กล่าวไปข้างต้น วารสารกฎหมาย จุฬาลงกรณ์มหาวิทยาลัยอาจดำเนินคดีตามกฎหมายต่อคุณได้ เพื่อเรียกร้องค่าเสียหายที่เป็นตัวเงินและคำขอชั่วคราวให้คุณหยุดการใช้เอกสารดังกล่าว ทั้งนี้ คุณอาจถูกสั่งให้ชดใช้ค่าใช้จ่ายใด ๆ ที่เกี่ยวข้องกับการดำเนินการตามกฎหมายนี้
หากคุณพบเห็นการใช้เอกสารอันมีลิขสิทธิ์ของวารสารกฎหมาย จุฬาลงกรณ์มหาวิทยาลัย ที่ขัดหรืออาจขัดต่อการอนุญาตให้ใช้สิทธิดังที่ได้กล่าวไปข้างต้น โดยเชื่อว่าได้ละเมิดลิขสิทธิ์ของคุณหรือของผู้อื่น สามารถร้องเรียนมาได้ที่ journal@law.chula.ac.th
เอกสารอ้างอิง
ในบทความนี้ ผู้เขียนจะใช้คำว่า “ธนาคาร” แทนคำว่า “ธนาคารพาณิชย์” โดยหากผู้เขียนประสงค์จะหมายความถึงธนาคารประเภทอื่น ผู้เขียนจะอ้างอิงชื่อประเภทของธนาคารประเภทนั้น ๆ โดยตรง
ทั้งนี้ เนื้อหาในบทความนี้ เรียบเรียงจากความคิดเห็นส่วนตัวของผู้เขียนโดยประกอบกฎหมายและกฎเกณฑ์ที่เกี่ยวข้อง รวมถึงระเบียบและแนวปฏิบัติภายในของธนาคารพาณิชย์ที่ผู้เขียนมีประสบการณ์การทำงาน ซึ่งอาจมีความแตกต่างกันในธนาคารพาณิชย์แต่ละแห่ง
มีข้อสังเกตว่า PDPA ไม่ได้มีการให้คำนิยามคำว่า “การประมวลผลข้อมูลส่วนบุคคล” ไว้โดยตรง แตกต่างจาก GDPR Article 4(2) ซึ่งกำหนดว่า “‘processing’ means any operation or set of operations which is performed on personal data or on sets of personal data, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction” กรณีตาม PDPA จึงตีความตามความหมายของคำว่า “ผู้ประมวลผลข้อมูลส่วนบุคคล” ตามมาตรา 4 ซึ่งกำหนดว่า “ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล…”
บุคคลที่เป็นลูกค้าของธนาคาร หมายความรวมถึงบุคคลธรรมดาและนิติบุคคล (บริษัท ห้างหุ้นส่วน มูลนิธิ โรงเรียน ฯลฯ) ซึ่ง PDPA มาตรา 3 กำหนดว่า ““บุคคล” หมายความว่า บุคคลธรรมดา” ดังนั้น ข้อมูลลูกค้าของธนาคารที่เป็นนิติบุคคล จึงไม่อยู่ภายใต้บังคับของ PDPA แต่อย่างไรก็ดี โดยปกติเมื่อลูกค้าที่เป็นนิติบุคคลติดต่อกับธนาคาร ผู้แทนของนิติบุคคลจะเป็นผู้ติดต่อ ดังนั้น ลูกค้าของธนาคารประเภทนิติบุคคลอาจข้องเกี่ยวกับ PDPA ด้วย หากในการประมวลผลข้อมูลมีการใช้ข้อมูลของผู้แทนของนิติบุคคลนั้น ๆ
โปรดดู ประกาศธนาคารแห่งประเทศไทย ที่ สนส.19/2562 เรื่อง หลักเกณฑ์การรู้จักลูกค้า (Know Your Customer: KYC) สำหรับการเปิดบัญชีเงินฝากของสถาบันการเงิน
pdpathailand, “คำถามที่ต้องการคำตอบ องค์กรของคุณมี Accountability ภายใต้ GDPR แค่ไหน?,” สืบค้นเมื่อ 27 กรกฎาคม 2568, https://pdpathailand.com/knowledge-pdpa/คำถามที่ต้องการคำตอบ-อ/?srsltid=AfmBOopZ_J1sQrBIbRaUQb2anv-6kuww8Aigy_kOiJohaTHgVz4TwZea
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562, มาตรา 24(3).
ศูนย์วิจัยกฎหมายและการพัฒนา คณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย, Thailand Data Protection Guidelines 3.0: แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล, พิมพ์ครั้งที่ 1 (กรุงเทพมหานคร: โรงพิมพ์แห่งจุฬาลงกรณ์มหาวิทยาลัย 2563), 69.
เรื่องเดียวกัน, 70.
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562, มาตรา 19.
ศูนย์วิจัยกฎหมายและการพัฒนา คณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย, Thailand Data Protection Guidelines 3.0: แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล, 71.
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562, มาตรา 19 วรรคห้า.
กฎเกณฑ์ของกรมสรรพากรเกี่ยวกับการนำเบี้ยประกันภัยไปลดหย่อนภาษีเงินได้บุคคลธรรมดานั้นมีหลายฉบับขึ้นอยู่กับประเภทของประกัน โปรดดูรายละเอียดของประกาศอธิบดีกรมสรรพากรเกี่ยวกับภาษีเงินได้ว่าด้วยการยกเว้นรัษฎากร และกฎเกณฑ์อื่น ๆ ที่เกี่ยวข้อง
ยกตัวอย่างเช่น การให้ความยินยอมทางการตลาดของลูกค้าแก่ธนาคารหรือบริษัทประกัน โดยเมื่อลูกค้าได้ให้ความยินยอมทางการตลาดแล้ว ธนาคารหรือบริษัทประกันบางแห่งจะใช้ข้อมูลเพื่อติดต่อลูกค้าและนำเสนอผลิตภัณฑ์หรือบริการที่ลูกค้าสนใจหรืออาจจะเหมาะสมกับลูกค้าได้โดยไม่มีกำหนดระยะเวลา ซึ่งรวมถึงกรณีที่ลูกค้าไม่ได้เป็นลูกค้ากับธนาคารหรือบริษัทประกันดังกล่าวแล้วก็ตาม ทั้งนี้มีข้อสังเกตว่า ในกรณีดังกล่าว หากธนาคารหรือบริษัทประกันติดต่อลูกค้าเพื่อนำเสนอผลิตภัณฑ์หรือบริการ แต่ลูกค้าปฏิเสธการนำเสนอดังกล่าวโดยใช้คำพูดในทำนองเช่น “ไม่สนใจ” หรือ “ไม่สะดวก” ธนาคารหรือบริษัทประกันก็จะกำหนดระยะเวลาเพื่อเว้นช่วงเวลาการติดต่อลูกค้ารายดังกล่าว แล้วจึงทำการติดต่อลูกค้าใหม่อีกครั้ง ซึ่งการที่ความยินยอมไม่มีกำหนดระยะเวลาความมีผลนั้น ก็อาจจะก่อให้เกิดความรำคาญใจ หรือความรู้สึกถูกรุกล้ำความเป็นส่วนตัวของลูกค้าได้ โดยเฉพาะอย่างยิ่งลูกค้าทั่วไปที่ไม่ทราบถึงวิธีการถอนความยินยอม และอาจจะนำไปสู่ปัญหาหรือความขัดแย้งระหว่างลูกค้าและธนาคารหรือบริษัทประกัน ซึ่งลูกค้าอาจร้องเรียนหน่วยงานกำกับและควบคุมที่เกี่ยวข้องได้ในท้ายที่สุด
ทั้งนี้ กรณีดังกล่าวข้างต้นจะแตกต่างกันกับการที่ลูกค้าปฏิเสธโดยใช้คำพูดในทำนองเช่น “ไม่สนใจ อย่าโทรมาอีก” หรือ “ห้ามโทรมาขายของอีก” กรณีดังกล่าวถือว่าเป็นการถอนความยินยอมทางการตลาด ซึ่งจะมีผลให้ธนาคารหรือบริษัทประกันต้องหยุดการนำเสนอผลิตภัณฑ์หรือบริการทันที และจัดประเภทข้อมูลของลูกค้ารายดังกล่าวให้อยู่ในกลุ่มห้ามติดต่อ (do-not-call) เพื่อไม่ให้ธนาคารหรือบริษัทประกันติดต่อลูกค้ารายดังกล่าวสำหรับกิจกรรมที่เกี่ยวข้องกับการตลาด เนื่องจากเป็นกลุ่มที่ไม่ให้ความยินยอมเพื่อวัตถุประสงค์ทางการตลาดกับธนาคาร หรือเคยให้ความยินยอม แต่ต่อมาได้ถอนความยินยอมแล้ว
ประกาศธนาคารแห่งประเทศไทยที่ 4/2568 เรื่อง การรักษาความมั่นคงปลอดภัยของการให้บริการทางการเงินและการชำระเงินบนอุปกรณ์เคลื่อนที่สำหรับสถาบันการเงิน
เรื่องเดียวกัน.
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562, มาตรา 21.
เรื่องเดียวกัน, มาตรา 4(6).
ธนาคารแห่งประเทศไทย, “เครดิตบูโร,” สืบค้นเมื่อ 27 กรกฎาคม 2568, https://www.bot.or.th/th/satang-story/managing-debt/creditbureau.html
บริษัท ข้อมูลเครดิตแห่งชาติ จำกัด, “ข้อมูลเครดิตคืออะไร สำคัญอย่างไร,” สืบค้นเมื่อ 27 กรกฎาคม 2568, https://www.ncb.co.th/ncb-article/what-is-credit-bureau-information/ และ พระราชบัญญัติการประกอบธุรกิจข้อมูลเครดิต พ.ศ. 2545, มาตรา 3.
ธนาคารแห่งประเทศไทย, “เครดิตบูโร”
พระราชบัญญัติการประกอบธุรกิจข้อมูลเครดิต พ.ศ. 2545, มาตรา 20.
เรื่องเดียวกัน, มาตรา 28.
เรื่องเดียวกัน, มาตรา 3 กำหนดว่า ““แบบจำลองด้านข้อมูลเครดิต” หมายความว่า เครื่องมือที่ใช้กระบวนการทางสถิติที่สมาชิกจัดทำขึ้นเพื่อกำหนดตัวชี้วัดความน่าจะเป็นในการชำระคืนหนี้ของลูกค้าของสมาชิก…”
สมาคมธนาคารไทย, “แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคลภาคธุรกิจธนาคาร (Guideline on Personal Data Protection for Thai Banks),” สืบค้นเมื่อ 11 พฤศจิกายน 2568, www.tba.or.th/wp-content/uploads/pdf/Guideline-on-Personal-Data-Protection-for-Thai-Banks.pdf
พระราชบัญญัติการประกอบธุรกิจข้อมูลเครดิต พ.ศ. 2545, มาตรา 20/1 วรรคแรก กำหนดว่า “สมาชิกอาจนำข้อมูลของลูกค้าของตนที่ได้รับจากบริษัทข้อมูลเครดิตตามมาตรา 20 เฉพาะในส่วนที่ไม่มีข้อมูลที่สามารถระบุตัวของเจ้าของข้อมูลมาใช้เป็นปัจจัยหนึ่งในการจัดทำแบบจำลองด้านเครดิตได้ โดยต้องได้รับความยินยอมจากเจ้าของข้อมูล”
เรื่องเดียวกัน, มาตรา 24(3).
ศูนย์วิจัยกฎหมายและการพัฒนา คณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย, Thailand Data Protection Guidelines 3.0: แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล, 82.
วิทัต พรจะเด็ด, “การใช้สิทธิเลิกสัญญาในธุรกิจขายตรงและตลาดแบบตรง,” (เอกัตศึกษาปริญญามหาบัณฑิต, คณะนิติศาสตร์, จุฬาลงกรณ์มหาวิทยาลัย, 2560), 10-11.
Rutan Bhattacharyya, “Mass Marketing,” accessed 23 November 2025, https://www.wallstreetmojo.com/mass-marketing/
Regulation 22(3) of the Privacy and Electronic Communications (EC Directive) Regulations 2003 กำหนดว่า “A person may send or instigate the sending of electronic mail for the purposes of direct marketing where—
(a) that person has obtained the contact details of the recipient of that electronic mail in the course of the sale or negotiations for the sale of a product or service to that recipient;
(b) the direct marketing is in respect of that person’s similar products and services only; and
(c) the recipient has been given a simple means of refusing (free of charge except for the costs of the transmission of the refusal) the use of his contact details for the purposes of such direct marketing, at the time that the details were initially collected, and, where he did not initially refuse the use of the details, at the time of each subsequent communication.”
หลักเกณฑ์ที่ยินยอมให้ผู้ประกอบการสามารถดำเนินกิจกรรมการตลาดแบบตรง (direct marketing) กับลูกค้าตามบทบัญญัติข้างต้นนี้ เรียกว่า “Soft Opt-in” ซึ่งเป็นคำที่ใช้อธิบายถึงกรณีที่กฎหมายถือว่าลูกค้ายินยอมให้ผู้ประกอบการส่งอีเมลหรือข้อความทางการตลาดโดยตรงได้โดยใช้ข้อมูลส่วนบุคคลของลูกค้าที่ได้ให้ไว้เมื่อใช้หรืออยู่ในขั้นตอนการเจรจาเพื่อใช้ผลิตภัณฑ์หรือบริการของผู้ประกอบการ แต่ลูกค้ายังไม่ได้ดำเนินการใด ๆ เพื่อให้ความยินยอมทางการตลาดโดยชัดแจ้ง (affirmative action) ซึ่งบทบัญญัติดังกล่าวกำหนดให้ผู้ประกอบการสามารถส่งอีเมลหรือข้อความเพื่อทำการตลาดแบบตรงให้แก่ลูกค้าดังกล่าวได้เฉพาะในกรณีการนำเสนอผลิตภัณฑ์หรือบริการที่มีความคล้ายคลึงกับผลิตภัณฑ์หรือบริการเดิม (similar goods or services) ที่ลูกค้าเคยใช้หรือเคยเจรจาเพื่อใช้ผลิตภัณฑ์หรือบริการ หรือกล่าวคือ จะสามารถทำได้เฉพาะในกรณีที่เป็นลูกค้าปัจจุบัน (existing customer) ที่มีความคุ้นเคยหรือรู้จักกับผลิตภัณฑ์หรือบริการของผู้ประกอบการแล้วเท่านั้น และผู้ประกอบการจะต้องจัดให้มีช่องทางให้ลูกค้าสามารถยกเลิก (“a simple means of refusing” หรือ การ opt-out) การรับข่าวสารทางการตลาดจากผู้ประกอบการได้โดยง่าย ทั้งในเวลาที่ผู้ประกอบการเก็บรวบรวมข้อมูล และภายหลังจากที่ผู้ประกอบการติดต่อลูกค้าเพื่อส่งอีเมลหรือข้อความทางการตลาดให้แก่ลูกค้าแล้ว
Dataships, “What is the “Soft opt-in” consent collection mechanism?,” accessed 27 July 2025, https://learn.dataships.io/what-is-the-soft-opt-in-consent-collection-mechanism
เนื่องจากตามนัยของ UK GDPR หากไม่ใช่ลูกค้าประเภท existing customer แต่เป็นบุคคลที่มีแนวโน้มจะเป็นลูกค้าหรือลูกค้าใหม่ (prospective customers or new contacts) ก็จะต้องมีการขอความยินยอมโดยชัดแจ้ง ซึ่งก็เป็นหลักการเดียวกันกับ PDPA ของประเทศไทย
ประมวลกฎหมายแพ่งและพาณิชย์, มาตรา 354-355 และ 359.
ภาวนา สุคันธวณิช, “คำมั่น” (วิทยานิพนธ์ปริญญามหาบัณฑิต, ภาควิชานิติศาสตร์, จุฬาลงกรณ์มหาวิทยาลัย, 2526), 14.
บริษัท ดีมีเตอร์ ไอซีที จำกัด, “Upselling กับ Cross-selling คืออะไร? ส่องกลยุทธ์เพิ่มยอดที่นักขายห้ามพลาด,” สืบค้นเมื่อ 27 กรกฎาคม 2568, https://dmit.co.th/th/zendesk-updates-th/upselling-and-cross-selling-strategy/
ประกาศธนาคารแห่งประเทศไทย ที่ สกส2. 4/2563 เรื่อง การบริหารจัดการด้านการให้บริการแก่ลูกค้าอย่างเป็นธรรม (Market conduct)
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562, มาตรา 27.
เรื่องเดียวกัน, มาตรา 37(2).
แต่ถ้าหากข้อเท็จจริงเปลี่ยนเป็นว่าบริษัทในกลุ่ม บริษัทในเครือ หรือบริษัทพันธมิตรทางธุรกิจของธนาคาร เป็นผู้รับโอนข้อมูลในฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล กรณีก็ไม่ต้องจัดทำ DTA แต่ต้องจัดทำข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement - DPA) กับธนาคารแทน ซึ่งเป็นหน้าที่ของผู้ประมวลผลข้อมูลที่ PDPA กำหนดไว้ในมาตรา 40
ศุภวัชร์ มาลานนท์, “ข้อตกลงการแบ่งปันข้อมูล...ควรเขียนอย่างไร เมื่อไหร่ต้องมี,” สืบค้นเมื่อ 27 กรกฎาคม 2568, https://www.dpoaas.co.th/blog/6917/ข้อตกลงการแบ่งปันข้อมูลควรเขียนอย่างไร-เมื่อไหร่ต้องมี
ตัวอย่างรายละเอียดของ DTA นี้ มีที่มาจาก Data Sharing: A Code of Practice ของ The Information Commissioner’s Office (UK ICO)
ในธนาคารบางแห่ง มีการกำหนดให้มีหน่วยงานภายในที่กำกับดูแลเกี่ยวกับการโอนหรือนำเข้าซึ่งข้อมูลส่วนบุคคลไว้เป็นการเฉพาะ ซึ่งหน่วยงานดังกล่าวมีหน้าที่จัดทำเอกสารดังกล่าว รวมถึงกำกับดูแลกระบวนการโอนหรือนำเข้าข้อมูลส่วนบุคคล ทั้งนี้ ธนาคารแต่ละแห่งมีโครงสร้างหน่วยงานและชื่อเรียกหน่วยงานที่แตกต่างกัน เช่น ฝ่าย Data Governance ฝ่าย Governance หรือฝ่าย Risk Management เป็นต้น
Gianclaudio Malgieri and Gloria González Fuster, “The vulnerable data subject: A gendered data subject?,” European Journal of Law and Technology 13, no. 2 (2022): 4-5.
Article 29 Working Party - Guidelines on transparency under Regulation 2016/679
Gianclaudio Malgieri and Jędrzej Niklas, “Vulnerable data subjects,” Computer Law & Security Review 37 (2020): 4-8.
Recital 75 Risks to the Rights and Freedoms of Natural Persons ของ GDPR
Recital 38 Special Protection of Children's Personal Data ของ GDPR
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562, มาตรา 19.
เรื่องเดียวกัน, มาตรา 20.
ศูนย์วิจัยกฎหมายและการพัฒนา คณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย, Thailand Data Protection Guidelines 3.0: แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล, 88.
กิตติพงศ์ หาริเทศ, “การคุ้มครองข้อมูลส่วนบุคคลในธุรกิจสถาบันการเงิน ศึกษากรณี: คำร้องขอหรือคำสั่งขอเข้าถึงข้อมูลส่วนบุคคลจากรัฐ” (วิทยานิพนธ์ปริญญามหาบัณฑิต, คณะนิติศาสตร์, จุฬาลงกรณ์มหาวิทยาลัย, 2562), 8.
เรื่องเดียวกัน, 7.
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562, มาตรา 30 วรรคแรก.
เรื่องเดียวกัน, มาตรา 30 วรรคสอง.
ประมวลกฎหมายแพ่งและพาณิชย์, มาตรา 1719.
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562, มาตรา 6.
พระราชบัญญัติธุรกิจสถาบันการเงิน พ.ศ. 2551, มาตรา 155.
ตามแนวปฏิบัติของธนาคารหลายแห่ง ธนาคารจะไม่มีอำนาจในการปิดบัญชีของเจ้าของบัญชีที่เสียชีวิตแล้วด้วยตนเอง เว้นแต่ผู้จัดการมรดกตามคำสั่งศาลของเจ้าของบัญชีที่เสียชีวิตจะมาเป็นผู้ดำเนินการกับธนาคาร
ศูนย์วิจัยกฎหมายและการพัฒนา คณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย, Thailand Data Protection Guidelines 3.0: แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล, 88.
เรื่องเดียวกัน, 87.
European Commission, “What does ‘grounds of legitimate interest’ mean?,” accessed 27 July 2025, https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/legal-grounds-processing-data/grounds-processing/what-does-grounds-legitimate-interest-mean_en
ทั้งนี้ หลักการดังกล่าว (ตาม GDPR Article 6 และ Recitals (47), (48) และ (49) ของ GDPR) เป็นหลักการที่ PDPA นำมาใช้ในบทบัญญัติมาตรา 23(5)
ศูนย์วิจัยกฎหมายและการพัฒนา คณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย, Thailand Data Protection Guidelines 3.0: แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล, 90.
ทั้ง GDPR และ PDPA ไม่ได้กำหนดรายละเอียดการประเมิน 3 รูปแบบไว้ แต่การประเมินดังกล่าวมีที่มาจากหลักการใน Recital 47 Overriding legitimate interest ของ GDPR
The wiseworks Co., Ltd., “Legitimate Interest Assessment กับการคุ้มครองข้อมูลส่วนบุคคล,” สืบค้นเมื่อ 27 กรกฎาคม 2568, https://thewiseworks.com/th/legitimate-interest-assessment-กับการคุ้มครองข้อม/
ศูนย์วิจัยกฎหมายและการพัฒนา คณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย, Thailand Data Protection Guidelines 3.0: แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล, 90.
ผู้เขียนมีความเห็นว่า แม้ว่าการประกาศนโยบายความเป็นส่วนตัว (Privacy Notice) ของธนาคารจะระบุรายละเอียดแจ้งให้ลูกค้าซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลทราบถึงวิธีการต่าง ๆ ที่ธนาคารเก็บ รวบรวม ใช้ เปิดเผย และจัดการข้อมูลส่วนบุคคลของลูกค้า รวมถึงสิทธิของเจ้าของข้อมูลและรายละเอียดการประมวลผลข้อมูลโดยใช้ฐานแต่ละประเภท แต่ก็เป็นวิธีการที่ธนาคารแจ้งให้ลูกค้าทราบฝ่ายเดียว โดยหากมีปัญหาเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลของลูกค้าโดยธนาคารเกิดขึ้น ลูกค้าก็จะต้องเป็นผู้มาใช้สิทธิของเจ้าของส่วนบุคคลตาม PDPA ด้วยตนเอง ซึ่งค่อนข้างเป็นปัญหาอย่างมากสำหรับลูกค้า โดยเฉพาะอย่างยิ่งลูกค้าที่มีอายุมากหรือทุพพลภาพ ซึ่งจะต้องติดต่อธนาคารเพื่อดำเนินการขอใช้สิทธิดังกล่าวด้วยตนเอง ดังนั้น เพื่อป้องกันปัญหา ธนาคารจึงต้องใช้ความระมัดระวังเป็นอย่างมากในการประมวลผลข้อมูลโดยใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest)
ในการดำเนินการขอใช้สิทธิดังกล่าวนั้น ธนาคารจะให้ลูกค้าที่มีความประสงค์จะใช้สิทธิ ดำเนินการกรอกข้อมูลและรายละเอียดลงในแบบฟอร์มคำขอใช้สิทธิของเจ้าของข้อมูล (Data Subject Request Form) เพื่อให้ธนาคารจัดเก็บเอกสารดังกล่าวไว้เป็นหลักฐานในระบบของธนาคารต่อไป
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562, มาตรา 33(2).
เรื่องเดียวกัน, มาตรา 32.
เรื่องเดียวกัน, มาตรา 34.
ศูนย์วิจัยกฎหมายและการพัฒนา คณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย, Thailand Data Protection Guidelines 3.0: แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล, 265.
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562, มาตรา 6 กำหนดว่า ““ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม”
Recital 26 Not Applicable to Anonymous Data ของ GDPR ซึ่งกำหนดว่า “The principles of data protection should apply to any information concerning an identified or identifiable natural person.
Personal data which have undergone pseudonymisation, which could be attributed to a natural person by the use of additional information should be considered to be information on an identifiable natural person.”
Data Protection Commission, “Anonymisation and Pseudonymisation,” accessed 27 July 2025, https://www.dataprotection.ie/en/dpc-guidance/anonymisation-and-pseudonymisation
European Data Protection Supervisor, “Pseudonymous data: processing personal data while mitigating risks,” accessed 27 July 2025, https://www.edps.europa.eu/press-publications/press-news/blog/pseudonymous-data-processing-personal-data-while-mitigating_en
Ibid.
PDPA Thailand, “แนะวิธีทำข้อมูลเป็นนิรนาม แนวทางใช้ข้อมูลของธุรกิจภายใต้กฎหมาย PDPA,” สืบค้นเมื่อ 27 กรกฎาคม 2568, https://pdpathailand.com/knowledge-pdpa/pdpa-anonymization/?srsltid=AfmBOornsn911Jo-EbvAHUXqOFVKf3Eb-UrdB9h_T2m6ikDfNkHO4U3R
ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567.
ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการที่เหมาะสมสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตามมาตรา 24 (1) และการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นตามมาตรา 26 (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566.
ศูนย์วิจัยกฎหมายและการพัฒนา คณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย, Thailand Data Protection Guidelines 3.0: แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล, 93.
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 39 ประกอบมาตรา 40(3) และ ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการ ของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565.
ตามหลักกฎหมายแล้ว หน้าที่นี้เป็นหน้าที่ของธนาคาร แต่ธนาคารสามารถมอบหมายให้ DPO ดำเนินการแทนได้ (โปรดดู ARTICLE 29 DATA PROTECTION WORKING PARTY - Guidelines on Data Protection Officers (‘DPOs’))
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562, มาตรา 41-42.
Stu Spikerman, “How Businesses in Heavy Regulated Industries Can Thrive in Compliance and Innovation,” accessed 24 November 2025, https://trilinkftz.com/global-trade-regulatory-compliance/how-businesses-in-heavy-regulated-industries-can-thrive-in-compliance-and-innovation/
ประกาศธนาคารแห่งประเทศไทย ที่ สกส2. 4/2563 เรื่อง การบริหารจัดการด้านการให้บริการแก่ลูกค้าอย่างเป็นธรรม (Market conduct).
แนวนโยบายธนาคารแห่งประเทศไทย เรื่อง การกำกับดูแลข้อมูล (Data Governance) และประกาศธนาคารแห่งประเทศไทย ที่ สนส. 21/2562 เรื่อง หลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ (Information Technology Risk) ของสถาบันการเงิน.
