# DPIA คืออะไร? คู่มือทำ Data Protection Impact Assessment ตาม PDPA สำหรับธุรกิจไทย 2026
พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) บังคับใช้จริงมาหลายปีแล้ว แต่ธุรกิจ SME ไทยจำนวนมากยังคิดว่า "แค่มี Privacy Policy กับ Consent Banner ก็พอ" ความจริงคือเมื่อคุณกำลังจะเปิดตัวระบบใหม่ที่ประมวลผลข้อมูลส่วนบุคคลในสเกลใหญ่ เช่น AI Chatbot วิเคราะห์พฤติกรรมลูกค้า, ระบบ CCTV จดจำใบหน้า, หรือแอปรวบรวมข้อมูลสุขภาพ กฎหมายกำหนดให้คุณต้องทำ DPIA ก่อน
DPIA (Data Protection Impact Assessment) คือกระบวนการประเมินความเสี่ยงที่อาจเกิดขึ้นกับสิทธิและเสรีภาพของเจ้าของข้อมูล เพื่อให้ธุรกิจวางมาตรการลดความเสี่ยงก่อนเริ่มประมวลผลจริง ไม่ใช่ "ทำผ่าน ๆ" แต่เป็นเอกสารที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) สามารถเรียกดูได้เมื่อมีเหตุ
บทความนี้จะอธิบายว่า DPIA คืออะไร ใครต้องทำบ้าง ขั้นตอน 7 step ที่ใช้ได้จริง พร้อมเทมเพลตและตัวอย่างที่ SME ไทยนำไปปรับใช้ได้ทันที
ทำไม DPIA ถึงสำคัญกับธุรกิจไทย
แม้ PDPA ไทยไม่ได้ระบุคำว่า "DPIA" ตรงตัวเหมือน GDPR ของยุโรป แต่มาตรา 37 วรรค 2 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคล "ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม" โดยพิจารณาจากระดับความเสี่ยง ซึ่งในทางปฏิบัติแปลว่าต้อง "ประเมินความเสี่ยง" นั่นคือหัวใจของ DPIA
ประโยชน์ที่ธุรกิจจะได้รับ
ใครต้องทำ DPIA บ้าง
ไม่ใช่ทุกระบบจะต้องทำ DPIA แต่ถ้าเข้าเกณฑ์ต่อไปนี้ "ควรทำ" อย่างยิ่ง
| สถานการณ์ | ตัวอย่าง |
|----------|---------|
| ประมวลผลข้อมูล Sensitive | ข้อมูลสุขภาพ, ศาสนา, เชื้อชาติ, ความเห็นทางการเมือง, ข้อมูลชีวภาพ |
| ใช้เทคโนโลยีใหม่ที่มีความเสี่ยง | AI, Face Recognition, IoT Tracking, Profiling |
| เฝ้าระวังพื้นที่สาธารณะ | CCTV ในห้าง, โรงเรียน, คอนโด |
| Profile ผู้บริโภคอัตโนมัติ | Credit Scoring, Behavioral Ads Targeting |
| ประมวลผลข้อมูลเด็ก | แอปเรียนออนไลน์, EdTech, เกม |
| ส่งข้อมูลข้ามประเทศ | Cloud ต่างประเทศ, Payment Gateway นอก |
| Match & Combine ข้อมูลจากหลายแหล่ง | CDP, Customer 360 |
หากธุรกิจไม่เข้าเกณฑ์ข้างต้น แนะนำให้ทำ ROPA (Record of Processing Activities) ตามมาตรา 39 เป็นอย่างน้อย
ขั้นตอนทำ DPIA 7 ขั้นตอน
ขั้นที่ 1 — ระบุขอบเขตของการประมวลผล
ร่างแผนผัง Data Flow ว่าข้อมูลมาจากไหน เก็บที่ไหน ส่งไปไหน ใครเห็นบ้าง
ขั้นที่ 2 — อธิบายจุดประสงค์และฐานทางกฎหมาย
ระบุฐานทางกฎหมายตามมาตรา 24 (ความยินยอม, สัญญา, ประโยชน์โดยชอบด้วยกฎหมาย ฯลฯ)
ขั้นที่ 3 — ประเมินความจำเป็นและสัดส่วน
ถามว่า "ต้องเก็บข้อมูลเท่านี้จริงหรือ?" หลัก Data Minimization บังคับให้เก็บเท่าที่จำเป็น
ขั้นที่ 4 — ระบุความเสี่ยงต่อเจ้าของข้อมูล
เช่น ข้อมูลรั่ว, การเลือกปฏิบัติ, การละเมิดความเป็นส่วนตัว, การถูก Profiling
ขั้นที่ 5 — ประเมินระดับความเสี่ยง
ใช้ Risk Matrix (Likelihood × Impact) จัดลำดับเป็น Low/Medium/High/Critical
ขั้นที่ 6 — วางมาตรการลดความเสี่ยง
เช่น เข้ารหัสข้อมูล, Pseudonymization, Access Control, การอบรมพนักงาน
ขั้นที่ 7 — ทบทวนและอนุมัติ
DPO (Data Protection Officer) หรือผู้บริหารที่รับผิดชอบต้องลงนาม และทบทวนทุก 12 เดือนหรือเมื่อมีการเปลี่ยนแปลงสำคัญ
เทมเพลต DPIA ที่ใช้ได้จริง
สามารถดาวน์โหลดและปรับใช้ได้เลยกับธุรกิจของคุณ
| หัวข้อ | สิ่งที่ต้องเขียน |
|-------|------------------|
| 1. Project Overview | ชื่อโครงการ, เจ้าของ, วันที่ประเมิน |
| 2. Data Description | ประเภทข้อมูล, ปริมาณ, แหล่งที่มา |
| 3. Processing Purpose | จุดประสงค์, ฐานกฎหมาย |
| 4. Data Flow | แผนผัง Data Flow |
| 5. Necessity & Proportionality | การเก็บข้อมูลจำเป็นแค่ไหน |
| 6. Risks to Data Subjects | รายการความเสี่ยงและผลกระทบ |
| 7. Risk Rating | Low/Medium/High/Critical |
| 8. Mitigation Measures | มาตรการแก้ไข |
| 9. Residual Risk | ความเสี่ยงที่เหลือหลังแก้ไข |
| 10. Approval | ลายเซ็น DPO/ผู้บริหาร |
ตัวอย่าง DPIA ของโครงการ AI Chatbot ของโรงพยาบาล
Project: AI Chatbot ให้คำแนะนำเบื้องต้นเรื่องสุขภาพแก่ผู้ป่วยทาง LINE OA
เปรียบเทียบ DPIA (PDPA ไทย) กับ DPIA (GDPR)
| ด้าน | PDPA ไทย | GDPR EU |
|------|----------|---------|
| ระบุคำว่า DPIA ตรงตัว | ไม่มี (ใช้หลักการประเมินความเสี่ยง) | มี (Article 35) |
| เกณฑ์บังคับ | พิจารณาจากระดับความเสี่ยง | ระบุเกณฑ์ชัดเจน |
| ต้องส่งให้หน่วยงานกำกับดูแลล่วงหน้า | ไม่บังคับ แต่ควรมีไว้พร้อมส่ง | บังคับถ้า High Risk (Prior Consultation) |
| ค่าปรับ | สูงสุด 5 ล้านบาท/ครั้ง | สูงสุด 4% ของ Global Revenue |
5 หลุมพรางที่ SME ไทยเจอบ่อย
เครื่องมือและแหล่งทรัพยากรที่แนะนำ
สรุปและก้าวต่อไป
DPIA ไม่ใช่แค่ "ทำตามกฎหมาย" แต่คือเครื่องมือบริหารความเสี่ยงที่ช่วยให้ธุรกิจปลอดภัยขึ้นและได้รับความเชื่อถือจากลูกค้า การทำ DPIA ตั้งแต่ต้นช่วยประหยัดทั้งเวลาและเงินในระยะยาว โดยเฉพาะเมื่อธุรกิจไทยเริ่มนำ AI และระบบอัตโนมัติมาใช้มากขึ้น
Key Takeaways
ต้องการที่ปรึกษาทำ DPIA หรือวางระบบ PDPA แบบครบวงจร? ทีม ADS FIT ช่วยได้ทั้งให้คำปรึกษาด้านกฎหมาย การวางระบบเทคนิค และพัฒนา Dashboard บริหาร DPIA/ROPA บน Laravel/Next.js [ติดต่อเรา](/contact) หรืออ่านบทความ Compliance เพิ่มเติม เช่น PDPA, ISO 27001, ISO 27701