บทนำ: ตัวเลขที่บอกว่ายุค “คอมพลายบนกระดาษ” จบแล้ว
การกำกับดูแลข้อมูลส่วนบุคคลของไทยกำลังเปลี่ยนผ่านจากช่วง “ออกกฎ” มาสู่ช่วง “บังคับใช้จริง” อย่างชัดเจน สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เปิดเผยว่าศูนย์ PDPA Center มีเรื่องร้องเรียนสะสมถึง 2,672 เรื่อง ณ เดือนมกราคม 2026 โดยประเด็นที่ถูกร้องมากที่สุดได้แก่ การใช้ข้อมูลเกินจำเป็น การเก็บข้อมูลโดยไม่มีฐานทางกฎหมาย และการเปิดเผยข้อมูลโดยไม่มีสิทธิ ตัวเลขนี้ไม่ใช่แค่สถิติ แต่เป็นสัญญาณว่าองค์กรจำนวนมากยังมีช่องว่างระหว่าง “นโยบายที่เขียนไว้” กับ “กระบวนการที่เกิดขึ้นจริง”
ความล้มเหลวที่เกิดซ้ำไม่ได้อยู่ที่กฎหมาย แต่อยู่ที่การออกแบบ governance
สิ่งที่ PDPC พบในการบังคับใช้ช่วงที่ผ่านมาไม่ได้กระจายไปทุกเรื่องอย่างสุ่ม แต่มีรูปแบบซ้ำ ๆ ห้าเรื่องหลัก ได้แก่ มาตรการรักษาความปลอดภัยอ่อนแอ การแจ้งเหตุละเมิดล่าช้า การไม่มี DPO ในกรณีที่กฎหมายกำหนด และการไม่ปฏิบัติตามข้อกำหนดธรรมาภิบาล เช่น Record of Processing Activities (ROPA) และสัญญาการประมวลผลข้อมูลกับผู้ประมวลผลช่วงท้าย
กรณีศึกษาที่ถูกยกเป็นตัวอย่างมีทั้งโรงพยาบาลที่นำข้อมูลผู้ป่วยไปใช้นอกวัตถุประสงค์ เช่น ส่งการ์ดอวยพรวันเกิด และผู้ให้บริการที่ระบบถูกเจาะเพราะรหัสผ่านอ่อนและไม่มีไฟร์วอลล์ ทั้งสองกรณีชี้จุดเดียวกัน: องค์กรอาจมีนโยบายความเป็นส่วนตัวครบถ้วน แต่ขาดการควบคุมเชิงปฏิบัติการในระดับ Workflow
ROPA ไม่ใช่เอกสารสำหรับผู้ตรวจ แต่เป็นแผนที่ความเสี่ยง
หลายองค์กรยังมอง ROPA เป็นแบบฟอร์มที่ต้องกรอกเพื่อผ่านการตรวจ แต่ในทางปฏิบัติ ROPA คือเครื่องมือบริหารความเสี่ยงที่ทำให้องค์กรรู้ว่าข้อมูลใดถูกเก็บที่ใด ใครเข้าถึง เก็บนานเท่าใด และส่งต่อไปยังใคร หาก ROPA ไม่สะท้อนการทำงานจริง การประเมินความเสี่ยงก็จะกลายเป็นการเดา และเมื่อเกิดเหตุละเมิด องค์กรจะไม่มีหลักฐานยืนยันความรับผิดชอบของตน
บทเรียนจากคดีจริง: ค่าเสียหายไม่ได้จบที่ค่าปรับ
คดีที่เกี่ยวข้องกับการละเมิดข้อมูลขนาดใหญ่สะท้อนว่าผู้ควบคุมข้อมูลอาจต้องรับผิดแม้เมื่อความผิดพลาดเกิดจากผู้ให้บริการหรือระบบที่ตนไม่ได้ควบคุมโดยตรง แนวโน้มปี 2026 คือการตรวจลึกถึง “ความปลอดภัยที่อ่อนแอ” ของคู่ค้าและผู้ประมวลผลช่วงท้าย ซึ่งหมายความว่าธรรมาภิบาลข้อมูลต้องครอบคลุมห่วงโซ่อุปทาน ไม่ใช่แค่ระบบภายในองค์กร
รายละเอียดแนวโน้มการบังคับใช้และกรณีศึกษาทั้งหมดถูกสรุปไว้ในบทวิเคราะห์ของ Tilleke & Gibbins เรื่อง Key Takeaways from Thailand’s Data Privacy Day 2026 ซึ่งเผยแพร่เมื่อ 30 มกราคม 2026 ที่ https://www.tilleke.com/insights/key-takeaways-from-thailands-data-privacy-day-2026/89/
AI ทำให้เส้นแบ่งความรับผิดชอบชัดขึ้น ไม่ใช่เบลอลง
แม้ PDPA จะไม่ได้กำกับตัว AI โดยตรง แต่กำกับข้อมูลส่วนบุคคลที่ไหลเข้าและออกจากระบบ AI องค์กรจึงยังคงเป็นผู้รับผิดชอบเต็มที่ต่อการประมวลผลที่ผิดกฎหมาย สิ่งที่ PDPC เน้นคือการจำแนกประเภทข้อมูลเพื่อจำกัดการเข้าถึงของ AI และการมีกลไกกำกับดูแลการใช้งาน AI ภายในองค์กร ไม่ให้เกิดการแชร์ข้อมูลเกินขอบเขต นี่คือจุดที่ธรรมาภิบาลข้อมูลต้องทำงานร่วมกับธรรมาภิบาล AI ตั้งแต่ชั้นนโยบายจนถึงชั้นปฏิบัติการ
สิ่งที่ต้องจับตา: การเปลี่ยนจาก “ตอบคำถามผู้ตรวจ” เป็น “ออกแบบระบบ”
องค์กรที่ยังรอให้เกิดเหตุแล้วค่อยแก้ จะเสียทั้งเวลาและความเชื่อมั่น ทางเลือกที่ได้ผลกว่าคือการทำ Data Mapping, จัดลำดับความสำคัญของข้อมูลตามความอ่อนไหว, ตั้งเจ้าภาพข้อมูลรายโดเมน และทดสอบแผนตอบสนองเหตุละเมิดก่อนเกิดเหตุจริง เพราะในปี 2026 การกำกับดูแลข้อมูลไม่ได้วัดที่จำนวนเอกสาร แต่วัดที่ความสามารถในการพิสูจน์ได้ว่าองค์กรควบคุมข้อมูลได้จริงตลอดวงจรชีวิต
