กฎหมายคุ้มครองข้อมูลส่วนบุคคลฉบับแรกของไทย ครอบคลุมทั้งภาครัฐและเอกชน บังคับใช้เต็มรูปแบบ 1 มิ.ย. 2565
→ส่วนนี้อธิบายว่ากฎหมายนี้เกิดขึ้นเพื่ออะไร ใช้บังคับกับใครบ้าง และมีกรณีใดบ้างที่ยกเว้น — เป็นกรอบใหญ่ก่อนเข้าเนื้อหาทุกหมวด
PDPA ประกาศในราชกิจจานุเบกษาวันที่ 27 พฤษภาคม 2562 และบังคับใช้เต็มรูปแบบ 1 มิถุนายน 2565 ถือเป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลฉบับแรกของไทยที่บังคับทั้งภาครัฐและเอกชนพร้อมกัน โดยอ้างอิงหลักการจาก GDPR ของสหภาพยุโรป รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมเป็นผู้รักษาการตามกฎหมายนี้
กฎหมายนี้ใช้บังคับกับผู้ควบคุมหรือผู้ประมวลผลที่อยู่ในราชอาณาจักร ไม่ว่าจะประมวลผลข้อมูลในหรือนอกประเทศก็ตาม นอกจากนี้ยังครอบคลุมถึงผู้ที่อยู่นอกราชอาณาจักรหากเสนอสินค้า/บริการแก่คนในไทย หรือเฝ้าติดตามพฤติกรรมของคนในไทย หลักการ extraterritorial นี้หมายความว่าบริษัทต่างชาติที่ให้บริการคนไทยต้องปฏิบัติตาม PDPA ด้วยโดยไม่มีข้อยกเว้นด้านที่ตั้ง
กรณีที่กฎหมายนี้ไม่ใช้บังคับ มี 6 กรณี
→ส่วนนี้แยกให้เห็นว่าคำสำคัญแต่ละคำหมายถึงอะไร และต่างกันตรงไหน — ข้อสอบมักถามว่าข้อมูลใดเป็นหรือไม่เป็นข้อมูลส่วนบุคคล หรือถามความต่างระหว่างผู้ควบคุมกับผู้ประมวลผล
ข้อมูลส่วนบุคคล คือข้อมูลที่ทำให้ระบุตัวบุคคลได้ไม่ว่าทางตรงหรือทางอ้อม เช่น ชื่อ-นามสกุล เลขบัตรประชาชน IP address คุกกี้ ข้อมูล GPS หรือหมายเลขบัญชีธนาคาร สิ่งสำคัญคือ ข้อมูลของผู้ที่เสียชีวิตแล้วไม่ถือเป็นข้อมูลส่วนบุคคลตามกฎหมายนี้ ดังนั้น PDPA จึงไม่คุ้มครองข้อมูลของคนตาย
ในทางปฏิบัติ องค์กรเดียวกันอาจเป็นทั้งผู้ควบคุมสำหรับข้อมูลบางส่วน และผู้ประมวลผลสำหรับข้อมูลอีกส่วนหนึ่งในเวลาเดียวกันได้ นอกจากนี้ ความยินยอม (Consent) หมายถึงการแสดงเจตนาโดยชัดแจ้ง สมัครใจ และมีข้อมูลที่เพียงพอของเจ้าของข้อมูล เพื่ออนุญาตให้ดำเนินการกับข้อมูลของตน
→ส่วนนี้อธิบายโครงสร้างของคณะกรรมการ PDPC ว่าประกอบด้วยใครบ้าง มีวาระเท่าไหร่ และมีอำนาจทำอะไร — ข้อสอบมักถามจำนวนและองค์ประกอบ
คณะกรรมการ PDPC ทำหน้าที่กำกับดูแลการบังคับใช้กฎหมายในภาพรวม มีกรรมการรวม 16 คน แต่งตั้งโดย ครม. ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิมีวาระ 4 ปี ดำรงตำแหน่งติดต่อกันไม่เกิน 2 วาระ หากกรรมการพ้นตำแหน่งก่อนวาระต้องแต่งตั้งผู้แทนภายใน 60 วัน
คณะกรรมการสรรหามี 8 คน มาจากนายกรัฐมนตรี ประธานรัฐสภา ผู้ตรวจการแผ่นดิน และคณะกรรมการสิทธิมนุษยชนแห่งชาติ ฝ่ายละ 2 คน โดยกรรมการสรรหาไม่มีสิทธิได้รับการเสนอชื่อเป็นกรรมการ PDPC การประชุมต้องมีกรรมการไม่น้อยกว่ากึ่งหนึ่งจึงเป็นองค์ประชุม มติใช้เสียงข้างมาก และประธานออกเสียงชี้ขาดเมื่อคะแนนเท่ากัน
อำนาจหน้าที่สำคัญของคณะกรรมการ PDPC มี 13 ประการ สรุปหลักที่มักออกสอบได้ดังนี้
เนื้อหาสรุปนี้จัดทำขึ้นเพื่อการศึกษาส่วนบุคคล ห้ามคัดลอก ทำซ้ำ หรือนำไปใช้เพื่อวัตถุประสงค์ทางการค้าโดยไม่ได้รับอนุญาต