การคุ้มครองข้อมูลส่วนบุคคล IoT โรงงาน 2026 | เส้นแบ่งที่การรับรอง PDPA ตรวจสอบ

การคุ้มครองข้อมูลส่วนบุคคลในระบบ IoT ของโรงงาน มักถูกมองว่าเป็นเพียงส่วนหนึ่งของงานความปลอดภัยไซเบอร์ และมักถูกเลื่อนออกไปเป็นลำดับหลัง แต่ในประเทศไทย เดือนมิถุนายน 2026 ได้มีการจัดตั้งระบบการรับรอง (Certification) ภายใต้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) ขึ้นเป็นครั้งแรก และในเดือนสิงหาคม 2025 มีการสั่งปรับ 8 รายการรวมราว 14.5 ล้านบาท ไม่ว่าจะเป็นสมาร์ทวอทช์ เครื่องสแกนใบหน้าสำหรับลงเวลาทำงาน หรือกล้อง AI ตรวจสอบด้วยภาพ อุปกรณ์ IoT ในโรงงานไม่ได้เก็บเฉพาะข้อมูลการเดินเครื่อง แต่เก็บข้อมูลส่วนบุคคลของพนักงานไปพร้อมกันด้วย บทความนี้สรุปความเคลื่อนไหวล่าสุดของกฎระเบียบ และแนวทางปฏิบัติที่โรงงานญี่ปุ่นในไทยเริ่มลงมือได้ทันที

สิ่งที่ IoT ในโรงงานเก็บ ไม่ได้มีแค่ข้อมูลการเดินเครื่อง

การนำ IoT เข้ามาใช้ในโรงงานมีเป้าหมายเพื่อมองเห็นอัตราการเดินเครื่องและข้อมูลคุณภาพได้ชัดเจนขึ้น แต่เซนเซอร์และกล้องตัวเดียวกันนั้น อาจกำลังเก็บข้อมูลส่วนบุคคลของพนักงานไปด้วยโดยไม่ได้ตั้งใจ จุดสัมผัสหลัก 4 จุดมีดังนี้

ข้อมูลเหล่านี้เมื่อดูแยกกันอาจเหมือนเป็นเพียงข้อมูลการเดินเครื่อง แต่เมื่อใดที่ถูกเชื่อมเข้ากับข้อมูลที่ระบุตัวบุคคลได้ (ชื่อ รหัสพนักงาน ภาพใบหน้า) ข้อมูลนั้นจะกลายเป็นข้อมูลส่วนบุคคลทันที และเข้าข่ายการบังคับใช้ของ PDPA โดยเฉพาะข้อมูลการสแกนใบหน้าและข้อมูลชีวภาพจากอุปกรณ์สวมใส่ จัดเป็นข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Personal Data) ตาม PDPA ของไทย ซึ่งโดยหลักการต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล ปัจจุบันโรงงานที่นำอุปกรณ์สวมใส่และการสแกนใบหน้ามาใช้เพื่อเพิ่มประสิทธิภาพการบริหารเวลาทำงานมีจำนวนมากขึ้น จึงจำเป็นต้องออกแบบการจัดการข้อมูลส่วนบุคคลไว้ตั้งแต่ขั้นตอนที่กำลังพิจารณา การใช้สมาร์ทวอทช์ในโรงงาน หรือ การนำ AI ตรวจสอบด้วยภาพมาใช้

สิ่งที่มักถูกมองข้ามคือ ข้อมูลเพื่อการเฝ้าระวังการเดินเครื่อง กับ ข้อมูลที่เป็นข้อมูลส่วนบุคคล ปะปนอยู่ในเซนเซอร์ตัวเดียวกันและไฟล์ล็อกไฟล์เดียวกัน เมื่อผู้รับผิดชอบงานเครื่องจักรออกแบบแดชบอร์ดแสดงอัตราการเดินเครื่อง หากมีรหัสพนักงานผูกอยู่ในนั้นด้วย ระบบนั้นก็เข้าข่าย PDPA ไปแล้ว นอกเหนือจากงานของฝ่าย IT หากไม่กำหนดให้ชัดตั้งแต่ขั้นตอนออกแบบว่า ใคร เพื่อวัตถุประสงค์ใด และเข้าถึงข้อมูลได้ลึกแค่ไหน การมาแยกเฉพาะข้อมูลส่วนบุคคลออกในภายหลังจะยากทั้งในเชิงเทคนิคและเชิงต้นทุน โรงงานจำนวนมากเริ่มพิจารณาเรื่องนี้หลังจากระบบเดินแล้ว จึงต้องเสียเวลาทำงานซ้ำสองรอบเพื่อรื้อการออกแบบล็อกเดิม

PDPA ไทยในปี 2026 เปลี่ยนจาก แค่ให้รับรู้ ไปสู่ ต้องพิสูจน์ได้

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลของไทยประกาศใช้ในปี 2019 และเริ่มบังคับใช้เต็มรูปแบบในเดือนมิถุนายน 2022 หลังสิ้นสุดระยะผ่อนผัน ตั้งแต่เริ่มบังคับใช้จนถึงราวปี 2024 การดำเนินการของหน่วยงานกำกับดูแลยังเน้นการเตือนและการแนะนำให้แก้ไข ซึ่งอยู่ในขั้นของการสร้างการรับรู้เป็นหลัก แต่ในช่วงปี 2025 ถึง 2026 จุดศูนย์ถ่วงของการกำกับดูแลได้เคลื่อนจากการสร้างการรับรู้ ไปสู่การพิสูจน์และการรับรองอย่างชัดเจน

18 มิถุนายน 2026 ระบบการรับรองเริ่มมีผลบังคับใช้

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ได้ประกาศในราชกิจจานุเบกษาเมื่อวันที่ 18 มิถุนายน 2026 ซึ่งเป็นประกาศ 2 ฉบับเกี่ยวกับการรับรองตาม PDPA (ลงวันที่ 27 กุมภาพันธ์ 2026) และมีผลบังคับใช้ในวันเดียวกัน ประกาศดังกล่าวทำให้ประเทศไทยมีระบบการรับรองอย่างเป็นทางการที่ให้บุคคลที่สามประเมินสถานะการปฏิบัติตาม PDPA เป็นครั้งแรก การประเมินประกอบด้วย 4 หมวดหมู่ 10 ด้านที่ให้ความสำคัญ และเกณฑ์การประเมิน 128 ข้อ เพื่อวัดระดับความพร้อมของธรรมาภิบาลด้านความเป็นส่วนตัวขององค์กร

การรับรองแบ่งออกเป็น 2 ระดับ

การรับรองเป็นระบบภาคสมัครใจ และมีอายุ 3 ปี ทั้งหน่วยงานภาครัฐและภาคเอกชนสามารถยื่นขอได้ แต่การจะได้รับการรับรองนั้น ระบบบริหารจัดการความเป็นส่วนตัวขององค์กรต้องอยู่ในระดับหนึ่งอยู่ก่อนแล้ว และแน่นอนว่าระบบบริหารจัดการข้อมูลส่วนบุคคลที่อุปกรณ์ IoT ในโรงงานเก็บรวบรวม ก็อยู่ในขอบเขตการประเมินนี้ด้วย ความละเอียดของเกณฑ์ทั้ง 128 ข้อ ในทางกลับกันก็สะท้อนว่า สิ่งที่ถูกตรวจสอบคือการสั่งสมงานปฏิบัติจริง เช่น มีบันทึกการขอความยินยอมหรือไม่ สัญญากับผู้รับจ้างระบุอะไรไว้บ้าง

สิงหาคม 2025 การลงโทษ 8 รายการ 14.5 ล้านบาท บอกอะไรเรา

ควบคู่ไปกับการเปลี่ยนแปลงเชิงระบบ ท่าทีการบังคับใช้ของ PDPC ก็เข้มข้นขึ้นเช่นกัน คำสั่งทางปกครองที่เผยแพร่ในเดือนสิงหาคม 2025 มีการลงโทษปรับ 8 รายการจาก 5 กรณี รวมเป็นเงินประมาณ 14.5 ล้านบาท ส่งผลให้ยอดค่าปรับสะสมนับตั้งแต่เริ่มบังคับใช้ PDPA เกิน 20 ล้านบาท

กรณีที่ควรจับตาเป็นพิเศษคือกรณีผู้ค้าปลีกของเล่น แม้ผู้ค้าปลีกจะชดเชยให้ผู้เสียหายอย่างรวดเร็วหลังเกิดเหตุ แต่ทั้งผู้ว่าจ้างและผู้รับจ้างก็ยังถูกลงโทษ ด้วยเหตุผลว่าผู้รับจ้าง (ผู้ประมวลผลข้อมูล) บริหารจัดการบกพร่อง นี่เป็นตัวอย่างจริงที่แสดงว่า แม้เป็นข้อมูลที่องค์กรไม่ได้จัดการเองโดยตรง ความบกพร่องของผู้รับจ้างก็ถูกถือเป็นความรับผิดชอบขององค์กรผู้ว่าจ้างด้วย ในระบบ IoT ของโรงงานเอง ก็มีหลายกรณีที่มอบหมายการประมวลผลข้อมูลให้บริการบริหารเวลาทำงานแบบคลาวด์ หรือผู้จำหน่ายอุปกรณ์สวมใส่ จึงไม่ใช่เรื่องไกลตัว ในจำนวน 8 รายการนั้น ค่าปรับที่ตกกับบริษัทเอกชนซึ่งรวมถึงภาคการผลิตและค้าปลีกคิดเป็นเกินครึ่ง แสดงว่าการบังคับใช้ไม่ได้จำกัดอยู่แค่บางอุตสาหกรรม

ข้อมูลชีวภาพคือข้อมูลอ่อนไหว ใช้โดยไม่มีความยินยอมไม่ได้

ภายใต้ PDPA ของไทย ข้อมูลการสแกนใบหน้า ลายนิ้วมือ และอัตราการเต้นของหัวใจ จัดอยู่ในกลุ่มข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Personal Data) ซึ่งต้องดูแลเข้มงวดกว่าข้อมูลส่วนบุคคลทั่วไป โดยหลักการต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล (Opt-in) และหากไม่เข้าข้อยกเว้นจำกัดที่กฎหมายกำหนดไว้ การเก็บรวบรวมและใช้งานโดยไม่มีความยินยอมจะถือเป็นการฝ่าฝืน PDPA เมื่อนำการสแกนใบหน้ามาใช้กับการลงเวลาเข้าออกงาน โรงงานจำนวนมากมักข้ามกระบวนการขอความยินยอมโดยอ้างเหตุผลเรื่องประสิทธิภาพเพียงอย่างเดียว ซึ่งเป็นรูปแบบการดำเนินงานที่มีความเสี่ยงถูกลงโทษสูง สำหรับกล้องวงจรปิดและกล้อง AI ตรวจสอบด้วยภาพ หากออกแบบไว้ในลักษณะที่ใบหน้าพนักงานอาจติดเข้ามาในภาพ ก็ต้องจัดระเบียบในแนวทางเดียวกัน

แบ่งข้อมูล IoT ของโรงงานออกเป็น 4 ชั้น

เพื่อไม่ให้การรับมือกฎระเบียบถูกเลื่อนออกไป การไม่เหมารวมข้อมูลทั้งหมดเป็นก้อนเดียว แต่จำแนกตามลักษณะแล้วออกแบบสิทธิ์การเข้าถึงเป็นวิธีที่ได้ผล ในทางปฏิบัติ หากจัดระเบียบเป็น 4 ชั้นดังนี้ จะเห็นชัดว่าจุดใดต้องรับมือกับ PDPA

การแบ่งชั้นแบบนี้ทำให้สามารถแยกสิทธิ์ได้ตั้งแต่ช่วงต้นของการออกแบบระบบ เช่น แดชบอร์ดอัตราการเดินเครื่องอยู่ในชั้นที่ 2 จึงเปิดให้ทั้งบริษัทดูได้ แต่ล็อกเวลาเข้าออกงานรายบุคคลอยู่ในชั้นที่ 3 จึงให้เฉพาะฝ่ายบุคคลเข้าถึง เหตุผลที่โรงงานจำนวนมากรับมือ PDPA ได้ช้า คือการออกแบบฐานข้อมูลที่ปะปนทั้ง 4 ชั้นมาตั้งแต่ต้น เมื่อจะนำอุปกรณ์ IoT ใหม่เข้ามา การระบุการแบ่งชั้นนี้ไว้ในเอกสารกำหนดความต้องการที่ส่งให้ผู้จำหน่าย จะช่วยป้องกันการต้องย้อนกลับมาแก้ไขในภายหลัง

ตัวอย่างเช่น ระบบที่วิเคราะห์เซนเซอร์วัดการสั่นสะเทือนร่วมกับบันทึกการตรวจเช็คของพนักงานเพื่อการบำรุงรักษาเชิงคาดการณ์ ข้อมูลการสั่นสะเทือนเองอยู่ในชั้นที่ 2 (ไม่ผูกกับบุคคล) แต่เมื่อใดที่มีบันทึกว่าใครเป็นผู้ตรวจเช็คเพิ่มเข้ามา ข้อมูลนั้นจะเปลี่ยนเป็นชั้นที่ 3 (ข้อมูลส่วนบุคคล) ทันที หากทั้งสองชั้นนี้ปะปนอยู่ในฐานข้อมูลเดียวกัน เมื่อเปิดข้อมูลการเดินเครื่องให้ทั้งแผนกวิเคราะห์ดู ก็เกิดอุบัติเหตุเปิดเผยข้อมูลส่วนบุคคลไปพร้อมกันโดยไม่ตั้งใจได้ง่าย นี่เป็นความเสี่ยงที่ป้องกันได้ด้วยการปรับการออกแบบเพียงเล็กน้อย เช่น แยกตารางตามชั้น หรือแม้อยู่ในตารางเดียวกันก็ตั้งค่าสิทธิ์การเข้าถึงคอลัมน์ที่ผูกกับบุคคลแยกต่างหาก

3 ไลน์งานปฏิบัติที่ขาดไม่ได้ในการรับมือ PDPA ของ IoT ในโรงงาน

เมื่อเข้าใจภาพรวมของกฎระเบียบและการจำแนกข้อมูล 4 ชั้นแล้ว ประเด็นที่ผู้ดูแล IoT และผู้ผลักดัน DX ของโรงงานต้องจับให้มั่นในทางปฏิบัติ สรุปได้เป็น 3 ไลน์ใหญ่

ไลน์ที่ 1 – จำกัดวัตถุประสงค์การเก็บรวบรวม (การออกแบบขอบเขต)

การเก็บข้อมูลทั้งหมดจากอุปกรณ์ IoT ไว้เรื่อย ๆ ด้วยเหตุผลว่ามีไว้ก็สะดวกดี ขัดกับหลักการจำกัดวัตถุประสงค์ที่ PDPA กำหนด องค์กรต้องนิยามวัตถุประสงค์การเก็บรวบรวมให้ชัดเจนเป็นรายอุปกรณ์ เช่น สำหรับสมาร์ทวอทช์กำหนดไว้ที่การยืนยันความปลอดภัย (การตรวจจับการล้ม เป็นต้น) สำหรับเครื่องลงเวลากำหนดไว้ที่การบริหารเวลาทำงาน แล้วออกแบบให้ไม่เก็บข้อมูลที่ไม่จำเป็นต่อวัตถุประสงค์นั้น (เช่น ล็อกติดตามตำแหน่งตลอดเวลา) หรือให้ลบอัตโนมัติภายในระยะเวลาอันสั้น การขยายขอบเขตการเก็บด้วยเหตุผลว่าอาจได้ใช้ในอนาคตทั้งที่วัตถุประสงค์ยังคลุมเครือ จะถูกหักคะแนนในการตรวจประเมินเพื่อรับรองด้วย ในเรื่องระยะเวลาจัดเก็บก็เช่นกัน โรงงานที่กำหนดเป็นระเบียบภายในอย่างชัดเจนว่าจะเก็บข้อมูลเวลาทำงานกี่ปี จะลบข้อมูลภาพอัตโนมัติภายในกี่วัน ยังมีไม่มาก จึงเป็นพื้นที่ที่ยังลงมือทำได้อีกมาก

ไลน์ที่ 2 – การออกแบบการขอความยินยอม (Opt-in และการแจ้ง)

กรณีที่ต้องจัดการกับการสแกนใบหน้าและข้อมูลชีวภาพ การขอความยินยอมด้วยการให้ลงนามรวบยอดครั้งเดียวตอนเข้าทำงาน เริ่มไม่เพียงพออีกต่อไป องค์กรต้องแจ้งให้ชัดเจนด้วยภาษาที่พนักงานเข้าใจได้ (ภาษาไทย) ว่าเก็บข้อมูลใดเพื่ออะไร ผู้รับผิดชอบในขอบเขตใดที่เข้าถึงได้ และจัดเก็บนานเท่าใด พร้อมทั้งจัดเตรียมช่องทางถอนความยินยอมไว้ด้วย ในหน้างานที่ใช้หลายภาษา ยังพบบ่อยว่าเอกสารความยินยอมไม่ได้จัดทำเป็นภาษาไทย หรือเขียนด้วยศัพท์เฉพาะที่ไม่สอดคล้องกับระดับความเข้าใจของหน้างาน การออกแบบกระบวนการขอความยินยอมจึงต้องทำร่วมกันระหว่างฝ่ายกฎหมายกับฝ่ายวิศวกรรมที่ใช้งานอุปกรณ์ IoT จริงในหน้างาน อีกจุดสำคัญในทางปฏิบัติคือ การเตรียมทางเลือกอื่นนอกเหนือจากการสแกนใบหน้า (เช่น บัตร IC) ไว้ให้พนักงานที่ถอนความยินยอม

ไลน์ที่ 3 – ธรรมาภิบาลผู้รับจ้างและผู้จำหน่าย (การบริหารผู้ประมวลผล)

ดังที่กรณีผู้ค้าปลีกของเล่นข้างต้นแสดงให้เห็น หากมอบหมายการประมวลผลข้อมูลส่วนบุคคลให้ภายนอก เช่น บริการบริหารเวลาทำงานแบบคลาวด์ หรือผู้จำหน่ายอุปกรณ์สวมใส่ ความบกพร่องของระบบบริหารจัดการฝั่งผู้รับจ้างจะกลายเป็นความรับผิดชอบของผู้ว่าจ้างด้วย จึงจำเป็นต้องมีกลไกที่ทำสัญญาประมวลผลข้อมูล (DPA) ตั้งแต่ขั้นตอนทำสัญญา และตรวจสอบระบบความปลอดภัยของผู้รับจ้างเป็นระยะ แนวคิดการบริหารผู้จำหน่ายที่กล่าวถึงใน คู่มือปฏิบัติด้านความปลอดภัย OT สามารถนำมาปรับใช้ในบริบทของการคุ้มครองข้อมูลส่วนบุคคลได้โดยตรง ควบคู่ไปกับมาตรการความปลอดภัย OT ของโรงงาน นอกจากนี้ การจัดเก็บบันทึกการรับมือการตรวจสอบในรูปแบบอิเล็กทรอนิกส์ ก็มีประโยชน์ต่อการตรวจประเมินเพื่อรับรองและการชี้แจงความรับผิดชอบเมื่อเกิดเหตุ รายละเอียดดูได้ที่ การจัดเก็บบันทึกการรับมือการตรวจสอบแบบดิจิทัล

มาตรการเชิงเทคนิคเมื่อต้องจัดการกับข้อมูลภาพ

สำหรับข้อมูลภาพที่มีโอกาสติดใบหน้าพนักงานเข้ามา เช่น กล้อง AI ตรวจสอบด้วยภาพและกล้องวงจรปิด นอกจากการจัดทำระเบียบแล้ว การรับมือในเชิงเทคนิคก็ได้ผลเช่นกัน มาตรการหลักมี 3 แนวทาง

• การปิดบังหรือเบลอส่วนใบหน้า วิเคราะห์เฉพาะวัตถุที่ตรวจสอบ (ตัวผลิตภัณฑ์) และเบลอใบหน้าบุคคลที่ติดเข้ามาโดยอัตโนมัติก่อนจัดเก็บ ระบบ AI ตรวจสอบด้วยภาพส่วนใหญ่สามารถจำกัดพื้นที่วิเคราะห์ (ROI) ได้ จึงตั้งค่าให้พื้นที่ที่มีคนติดเข้ามาอยู่นอกขอบเขตการวิเคราะห์ไว้ล่วงหน้าได้ด้วย
• การประมวลผลที่เอดจ์เพื่อไม่จัดเก็บข้อมูลดิบ แทนที่จะส่งภาพที่กล้องบันทึกขึ้นคลาวด์ตรง ๆ ให้ประมวลผลวิเคราะห์จบภายในอุปกรณ์เอดจ์ในโรงงาน แล้วส่งเฉพาะผลตัดสิน (ของดีหรือของเสีย) ขึ้นระบบชั้นบน การออกแบบเช่นนี้ทำให้ไม่ต้องเก็บภาพดิบที่มีใบหน้าไว้ในระยะยาว
• การหมดอายุการจัดเก็บโดยอัตโนมัติ กำหนดอายุการจัดเก็บข้อมูลภาพไว้ล่วงหน้า (เช่น 7 วัน หรือ 30 วัน) และตั้งค่ากลไกลบข้อมูลที่เกินกำหนดโดยอัตโนมัติไว้ที่ตัวกล้องหรือที่ NVR (เครื่องบันทึกภาพ)

จุดเด่นของทั้ง 3 แนวทางคือ ส่วนใหญ่ทำได้โดยไม่ต้องปรับปรุงระบบครั้งใหญ่ เพียงเปลี่ยนการตั้งค่าของระบบ AI ตรวจสอบด้วยภาพและกล้องที่มีอยู่ หรือเพิ่มซอฟต์แวร์เล็กน้อยก็เพียงพอ หากกำลังจะนำกล้อง AI ตรวจสอบด้วยภาพมาใช้ใหม่ การสอบถามผู้จำหน่ายตั้งแต่ช่วงต้นของการคัดเลือกว่ามีฟังก์ชันจำกัด ROI และรองรับการประมวลผลที่เอดจ์หรือไม่ จะช่วยให้ไม่ต้องตามแก้เพิ่มเติมในภายหลัง

ลำดับการลงมือ – โรดแมปปฏิบัติที่จัดระเบียบได้ใน 90 วัน

ก่อนจะตัดสินใจลงทุนก้อนใหญ่อย่างการขอรับรอง สิ่งที่ควรทำก่อนคือเข้าใจสถานะปัจจุบันขององค์กรและจัดโครงสร้างพื้นฐานให้พร้อม ระบบการรับรองเป็นเพียงกลไกที่ให้บุคคลที่สามประเมินและรับรองระบบบริหารจัดการที่มีอยู่แล้ว ไม่ใช่กลไกที่สร้างระบบให้ หากทำการสำรวจข้อมูลและจัดทำระเบียบให้เสร็จก่อน เมื่อพิจารณาขอรับรองในอนาคต ก็สามารถนำเอกสารส่วนใหญ่ที่จำเป็นต่อการตรวจประเมินไปใช้ต่อได้ แนวทางดำเนินการโดยใช้กรอบเวลา 90 วันมีดังนี้

• Day 0-30 (สำรวจและจัดทำบัญชีข้อมูล) รวบรวมว่าอุปกรณ์ IoT กล้อง และอุปกรณ์สวมใส่ในโรงงานเก็บข้อมูลอะไรบ้าง จัดทำรายการว่าเก็บอะไร จากใคร เพื่ออะไร แล้วนำไปวางลงในโมเดล 4 ชั้นข้างต้น
• Day 31-60 (จัดทำความยินยอมและระเบียบ) ตรวจสอบว่าอุปกรณ์ที่จัดการกับการสแกนใบหน้าและข้อมูลชีวภาพมีกระบวนการขอความยินยอมหรือไม่ หากยังไม่มี ให้จัดทำเอกสารความยินยอมภาษาไทยและช่องทางถอนความยินยอม พร้อมกำหนดระเบียบภายในเรื่องระยะเวลาจัดเก็บข้อมูล
• Day 61-90 (บริหารผู้จำหน่าย) ตรวจสอบว่ามีสัญญาประมวลผลข้อมูล (DPA) กับผู้จำหน่ายอุปกรณ์สวมใส่และบริการบริหารเวลาทำงานหรือไม่ หากยังไม่ได้ทำก็ให้จัดทำสัญญา พร้อมกันนั้นให้ตรวจสอบว่าสิทธิ์การเข้าถึงข้อมูลส่วนบุคคลถูกจำกัดไว้เฉพาะผู้รับผิดชอบที่จำเป็นต่องานแล้วหรือยัง

ทั้ง 3 ขั้นนี้ไม่จำเป็นต้องลงทุนระบบราคาสูง และเริ่มลงมือได้ด้วยการทบทวนกฎการใช้งานระบบ IoT ที่มีอยู่เดิม การพิจารณาขอรับรองในฐานะทางเลือกถัดไปจึงเป็นลำดับที่สมจริง โดยเฉพาะองค์กรที่จัดการข้อมูลชีวภาพของพนักงานจำนวนมากในหลายฐานการผลิต หรือองค์กรที่มีการตรวจสอบจากลูกค้าและการรายงานต่อสำนักงานใหญ่ระดับโลกบ่อยครั้ง ผลของการสำรวจข้อมูลนี้จะนำไปใช้เป็นเอกสารเตรียมยื่นขอรับรองได้ทันที

ควรขอรับรองหรือไม่ – จะตัดสินใจกับระบบภาคสมัครใจอย่างไร

การรับรองตาม PDPA ไม่ใช่หน้าที่ตามกฎหมาย แต่เป็นระบบภาคสมัครใจ การขอรับรองมีต้นทุนทั้งการเตรียมประเมิน การจัดทำเอกสาร และค่าธรรมเนียมการตรวจประเมิน ขณะที่หากไม่ขอรับรอง ความเสี่ยงจากการถูกตรวจจับและถูกปรับก็ยังคงอยู่ แกนของการตัดสินใจคือปริมาณข้อมูลส่วนบุคคลที่องค์กรจัดการ และขนาดของความเสี่ยง

คำถามที่พบบ่อย

กล้องสแกนใบหน้าใช้งานได้โดยไม่ต้องขอความยินยอมหรือไม่

โดยหลักการแล้วไม่ได้ ข้อมูลการสแกนใบหน้าจัดอยู่ในกลุ่มข้อมูลชีวภาพ (ข้อมูลอ่อนไหว) ซึ่ง PDPA ของไทยกำหนดให้ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล หากไม่เข้าข้อยกเว้นจำกัดตามกฎหมาย (เช่น ประโยชน์สาธารณะที่สำคัญ) การนำมาใช้โดยข้ามกระบวนการขอความยินยอมย่อมมีความเสี่ยงฝ่าฝืน PDPA

ข้อมูลตำแหน่งที่อยู่จากแอปลงเวลาทำงานเข้าข่าย PDPA ด้วยหรือไม่

ใช่ ข้อมูลตำแหน่งที่อยู่ที่เชื่อมกับรหัสพนักงานหรือชื่อถือเป็นข้อมูลส่วนบุคคล ควรจำกัดวัตถุประสงค์การเก็บไว้ที่การบริหารเวลาทำงาน และหลีกเลี่ยงการติดตามตำแหน่งตลอดเวลาซึ่งอยู่นอกวัตถุประสงค์

ข้อมูลรั่วไหลที่มีสาเหตุจากผู้จำหน่าย (ผู้รับจ้าง) องค์กรของเราต้องรับผิดชอบหรือไม่

มีกรณีที่ต้องรับผิดชอบ ในกรณีเดือนสิงหาคม 2025 ทั้งผู้ว่าจ้าง (ผู้ค้าปลีก) และผู้รับจ้าง (ผู้ประมวลผลข้อมูล) ถูกสั่งปรับทั้งคู่ ผู้ว่าจ้างเองก็มีความรับผิดชอบในการตรวจสอบระบบบริหารจัดการของผู้รับจ้างทั้งตอนทำสัญญาและระหว่างการใช้งาน

ควรขอเครื่องหมายรับรอง PDPA หรือไม่

การขอรับรองเป็นภาคสมัครใจ องค์กรที่จัดการข้อมูลชีวภาพของพนักงานจำนวนมากในหลายฐานการผลิต หรือมีการตรวจสอบจากลูกค้าและการรายงานต่อสำนักงานใหญ่ระดับโลกบ่อยครั้ง มีคุณค่าพอที่จะพิจารณาขอรับรอง แต่สิ่งที่ควรทำก่อนคือจัดระบบพื้นฐานอย่างการขอความยินยอม การจำกัดวัตถุประสงค์ และการบริหารผู้รับจ้างให้เรียบร้อย

รับมือได้โดยไม่ต้องเปลี่ยนระบบ IoT เดิมหรือไม่

ส่วนใหญ่ทำได้ ไม่จำเป็นต้องเปลี่ยนตัวเซนเซอร์หรือกล้อง เพราะส่วนใหญ่รับมือได้ด้วยการเปลี่ยนกฎการใช้งาน เช่น การตั้งค่าระยะเวลาจัดเก็บข้อมูลที่เก็บรวบรวม การทบทวนสิทธิ์การเข้าถึง และการเพิ่มกระบวนการขอความยินยอม อย่างไรก็ตาม กรณีอุปกรณ์สแกนใบหน้าที่ต้องมีทางเลือกอื่นเมื่อมีการถอนความยินยอม อาจต้องพิจารณาติดตั้งวิธีบันทึกเวลาสำรอง (เช่น บัตร IC) ควบคู่กับอุปกรณ์เดิม

โรดแมป 90 วันควรให้แผนกใดเป็นผู้นำ

รูปแบบที่สมจริงคือให้แผนกผลักดัน DX และแผนกวิศวกรรมการผลิตซึ่งดูแลการใช้งาน IoT ของโรงงานเป็นแกนกลาง แล้วประสานงานกับฝ่ายกฎหมายและฝ่ายบุคคล เพราะผู้ที่เข้าใจการจัดการข้อมูลในเชิงเทคนิค (ล็อกใดมีอะไรอยู่บ้าง) คือวิศวกรหน้างาน ส่วนถ้อยคำในเอกสารความยินยอมและระเบียบภายในต้องอาศัยความรู้ของฝ่ายกฎหมายและฝ่ายบุคคล การเดินหน้าเป็นงานร่วมกันของทั้งสองฝ่ายจึงลดการย้อนกลับมาแก้ไขได้ หากต้องรายงานไปยังสำนักงานใหญ่ในญี่ปุ่น การแบ่งปันสถานการณ์กับฝ่ายระบบสารสนเทศและฝ่ายกำกับดูแลของสำนักงานใหญ่ตั้งแต่เนิ่น ๆ จะทำให้การชี้แจงในภายหลังราบรื่นขึ้น

หากข้อมูลส่วนบุคคลรั่วไหลจากอุปกรณ์ IoT ต้องรายงานภายในกี่วัน

ตามมาตรา 37(4) ของ PDPA ไทย ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่รายงานต่อ PDPC ภายใน 72 ชั่วโมงนับแต่ทราบเหตุการรั่วไหลของข้อมูลส่วนบุคคล เท่าที่จะสามารถกระทำได้ หากไม่สามารถรายงานภายใน 72 ชั่วโมง ก็ยังต้องรายงานภายใน 15 วันนับแต่ทราบเหตุ พร้อมเหตุผลอันสมควรของความล่าช้า หากละเลยหน้าที่รายงานภายใน 72 ชั่วโมง อาจถูกปรับสูงสุด 3 ล้านบาท กรณีเกิดการรั่วไหลจากอุปกรณ์สวมใส่หรือบริการบริหารเวลาทำงานแบบคลาวด์ก็เข้าข่ายเช่นกัน การระบุไว้ในสัญญากับผู้จำหน่ายว่าเมื่อเกิดเหตุรั่วไหลต้องแจ้งมายังองค์กรภายในกี่ชั่วโมง จึงเป็นเรื่องสำคัญต่อการรักษากฎ 72 ชั่วโมง

บทสรุป

การนำ IoT เข้ามาใช้ในโรงงานไม่ได้มีเพียงการมองเห็นข้อมูลการเดินเครื่องเท่านั้น แต่ย่อมมาพร้อมกับอีกด้านหนึ่งเสมอ นั่นคือการจัดการข้อมูลส่วนบุคคลของพนักงาน ในประเทศไทย ระบบการรับรองตาม PDPA เริ่มมีผลบังคับใช้ในเดือนมิถุนายน 2026 และเดือนสิงหาคม 2025 มีการสั่งปรับรวม 14.5 ล้านบาท ทำให้ยอดค่าปรับสะสมนับตั้งแต่เริ่มบังคับใช้เกิน 20 ล้านบาท สะท้อนว่าการบังคับใช้กฎระเบียบมีผลจริงมากขึ้น เมื่อจะนำอุปกรณ์ IoT อย่างสมาร์ทวอทช์ การสแกนใบหน้า และกล้อง AI ตรวจสอบด้วยภาพมาใช้และดำเนินการ สิ่งที่ขาดไม่ได้คือการจำแนกข้อมูลเป็น 4 ชั้น แล้วจัดระบบ 3 ไลน์งานปฏิบัติ ได้แก่ การจำกัดวัตถุประสงค์การเก็บรวบรวม การออกแบบการขอความยินยอม และธรรมาภิบาลผู้รับจ้างและผู้จำหน่าย ไปพร้อมกับการนำเทคโนโลยีเข้ามา หากลงมือตามลำดับสำรวจข้อมูล จัดทำระเบียบ และบริหารผู้จำหน่าย โดยใช้กรอบเวลา 90 วัน ก็จัดโครงสร้างพื้นฐานให้พร้อมได้โดยไม่ต้องลงทุนก้อนใหญ่

หากต้องการเริ่มจากการสำรวจว่าอุปกรณ์ IoT ในโรงงานเก็บข้อมูลส่วนบุคคลอะไรอยู่บ้าง หรือต้องการตรวจสอบสถานะการรับมือ PDPA ของระบบเดิม สามารถปรึกษาได้ตั้งแต่ช่วงต้นของการพิจารณา TOMAS TECH สนับสนุนการนำระบบ IoT และ OT เข้ามาใช้ในโรงงาน โดยมองจากมุมหน้างานเพื่อให้การใช้ประโยชน์จากข้อมูลการเดินเครื่องกับการคุ้มครองข้อมูลส่วนบุคคลไปด้วยกันได้ หากมีแผนนำอุปกรณ์ IoT ใหม่เข้ามา การปรึกษาตั้งแต่ขั้นตอนคัดเลือกจะช่วยเลี่ยงการย้อนกลับมาแก้การออกแบบในภายหลัง ติดต่อสอบถามได้ที่นี่

แหล่งอ้างอิง

• Thailand Introduces Certification Framework for Personal Data Protection Standards – Tilleke & Gibbins
• Enhancing Data Governance under Thailand’s PDPA – Nagashima Ohno & Tsunematsu
• More Than a Warning: Eight Serious Fines Imposed in Thai Data Protection Cases – Tilleke & Gibbins
• Thailand’s PDPC Signals Tougher Enforcement With Multi-Million Baht Fines – Mondaq
• Employer’s Data Obligation Under Thailand’s PDPA – Securiti
• Workplace Privacy: A Case Study on Biometric Technology for Employee Attendance Tracking – Athentic Consulting
• Thailand’s PDPC clarifies data breach notification requirements – IAPP