ประกาศ เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567
สารบัญในหน้านี้
ใจความสำคัญ
ประกาศฉบับนี้ปรับปรุงหลักเกณฑ์การยกเว้นหน้าที่บันทึกรายการ (ROPA) ตาม มาตรา 39 วรรคหนึ่ง สำหรับผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก โดยยกเลิกฉบับเดิม ประกาศการยกเว้นการบันทึกรายการฯ พ.ศ. 2565 ทั้งฉบับ
- ขอบเขตการยกเว้น: ไม่ต้องบันทึกรายการตาม มาตรา 39 วรรคหนึ่ง (1) (2) (3) (4) (5) (6) และ (8) — รายการ (7) บันทึกการปฏิเสธคำขอหรือการคัดค้าน ไม่อยู่ในขอบเขตที่ยกเว้นได้ เพราะ มาตรา 39 วรรคสามเปิดให้ยกเว้นเฉพาะ (1)-(6) และ (8)
- นิยาม "กิจการขนาดเล็ก" 8 ประเภท (ข้อ 4): วิสาหกิจขนาดย่อม/ขนาดกลาง · วิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชน · วิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคม · สหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกร · มูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรเอกชนที่ไม่แสวงหากำไร · นิติบุคคลอาคารชุดหรือนิติบุคคลหมู่บ้านจัดสรร · กิจการในครัวเรือนหรือกิจการอื่นในลักษณะเดียวกัน · กิจการที่ดำเนินการโดยผู้ควบคุมข้อมูลส่วนบุคคลที่เป็นบุคคลธรรมดา — สองประเภทหลัง (นิติบุคคลอาคารชุด/หมู่บ้านจัดสรร และบุคคลธรรมดา) เป็นส่วนขยายจากฉบับ พ.ศ. 2565
- เงื่อนไขใหม่ (ข้อ 5 วรรคหนึ่ง): ผู้ที่จะได้รับยกเว้นต้องไม่มีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม มาตรา 41 (1) (2) หรือ (3) — แทนเงื่อนไขเดิมเรื่องผู้ให้บริการที่ต้องเก็บข้อมูลจราจรทางคอมพิวเตอร์ซึ่งถูกตัดออก
- ข้อจำกัดการยกเว้น (ข้อ 5 วรรคสอง): แม้เข้าข่ายกิจการขนาดเล็ก ยังต้องบันทึกรายการเต็มตาม มาตรา 39 วรรคหนึ่ง (1) ถึง (8) หากการประมวลผลมีลักษณะใดลักษณะหนึ่ง: มีความเสี่ยงกระทบสิทธิและเสรีภาพของเจ้าของข้อมูล · มิใช่การประมวลผลเป็นครั้งคราว · เป็นข้อมูลส่วนบุคคลตาม มาตรา 26 (ข้อมูลอ่อนไหว)
- ใช้บังคับเมื่อพ้นกำหนด 90 วันนับแต่วันประกาศในราชกิจจานุเบกษา (8 มกราคม 2568) — มีผล 8 เมษายน 2568
ตัวบท
ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567"
ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป
ข้อ 3 ให้ยกเลิกประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565
ข้อ 4 ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก ที่ได้รับยกเว้นไม่ต้องบันทึกรายการตาม มาตรา 39 วรรคหนึ่ง (1) (2) (3) (4) (5) (6) และ (8) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จะต้องมีลักษณะอย่างใดอย่างหนึ่ง ดังต่อไปนี้
(1) เป็นวิสาหกิจขนาดย่อมหรือวิสาหกิจขนาดกลางตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม
(2) เป็นวิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชนตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจชุมชน
(3) เป็นวิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคมตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจเพื่อสังคม
(4) เป็นสหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกรตามกฎหมายว่าด้วยสหกรณ์
(5) เป็นมูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรเอกชนที่ไม่แสวงหากำไร
(6) เป็นนิติบุคคลอาคารชุดตามกฎหมายว่าด้วยอาคารชุด หรือนิติบุคคลหมู่บ้านจัดสรรตามกฎหมายว่าด้วยการจัดสรรที่ดิน
(7) เป็นกิจการในครัวเรือนหรือกิจการอื่นในลักษณะเดียวกัน
(8) เป็นกิจการที่ดำเนินการโดยผู้ควบคุมข้อมูลส่วนบุคคลที่เป็นบุคคลธรรมดา
ข้อ 5 ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นตามข้อ 4 จะต้องไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคลที่มีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ตาม มาตรา 41 (1) (2) หรือ (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นตามข้อ 4 จะต้องบันทึกรายการตาม มาตรา 39 วรรคหนึ่ง (1) ถึง (8) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เฉพาะกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีลักษณะใดลักษณะหนึ่ง ดังต่อไปนี้
(1) มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล
(2) มิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว (occasional collection, use, or disclosure of personal data)
(3) เป็นข้อมูลส่วนบุคคลตาม มาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ข้อ 6 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้
ประกาศ ณ วันที่ 26 ธันวาคม พ.ศ. 2567
เธียรชัย ณ นคร
ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล
เหตุผลและฐานอำนาจ
โดยที่เป็นการสมควรปรับปรุงหลักเกณฑ์การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก
อาศัยอำนาจตามความใน มาตรา 16 (4) และ มาตรา 39 วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้
เอกสารต้นฉบับ
(ประกาศในราชกิจจานุเบกษา เล่ม 142 ตอนพิเศษ 5 ง หน้า 19-20 วันที่ 8 มกราคม 2568 · วันมีผลใช้บังคับคำนวณจากวันประกาศ + 90 วัน = 8 เมษายน 2568 · ข้อความในตัวบทถอดจาก PDF ด้วย glyph map ระดับ glyph ID เพราะฟอนต์ฝังของไฟล์ให้ข้อความเพี้ยน — ตรวจทานกับภาพเอกสารจริงแล้ว)