อะไรเปลี่ยนไปในปี 2025–2026
สิ่งที่เปลี่ยนในโลกจริง และทีม CRM ควรทำอะไรต่างจากเดิม
- สคส. เลิกเตือน เริ่มปรับจริง ทั้งแบรนด์และ vendor
สคส. ปรับครั้งแรก 7 ล้านบาทในเดือน ส.ค. 2024 และวันที่ 1 ส.ค. 2025 ปรับอีก 8 คำสั่งรวมราว 14.5 ล้านบาท ยอดสะสมราว 21.5 ล้านบาท เหตุหลักคือความปลอดภัยไม่พอ ไม่มี DPO และไม่แจ้งเหตุรั่ว มีผู้ประมวลผลถูกปรับมากกว่าแบรนด์ด้วย ทีม CRM ต้องตรวจสัญญาและความปลอดภัยของ vendor และเอเจนซีทุกราย
- ร่างแนวปฏิบัติการตลาดของ สคส. กำหนดวิธีขอ Consent
วันที่ 7 ก.ค. 2026 สคส. เผยแพร่ร่างแนวปฏิบัติด้านการตลาดและการตลาดทางตรง ให้แยก Consent การตลาดจากบริการหลัก ห้ามติ๊กให้ก่อนหรือมัดรวม ห้ามตัดบริการคนที่ไม่รับการตลาด และระวังข้อมูลจาก Data Broker ร่างนี้ยังไม่มีผลบังคับ แต่ควรปรับฟอร์มสมัครสมาชิกและกระบวนการเลิกรับตั้งแต่ตอนนี้
ที่มา: legal500.com,tilleke.com
- มีร่างแนวทางเรื่อง AI กับข้อมูลส่วนบุคคลแล้ว
วันที่ 17 ก.พ. 2026 สคส. เผยแพร่ร่างแนวทางคุ้มครองข้อมูลในการพัฒนาและใช้ AI ระบุว่าผู้ให้บริการที่นำข้อมูลลูกค้าไปฝึกโมเดลเองอาจกลายเป็นผู้ควบคุมข้อมูล และให้ทำ DPIA กับงาน AI เสี่ยงสูง ส่วน ETDA เปิดรับฟังความเห็นร่างกฎหมาย AI แบบกำกับตามความเสี่ยงถึง 14 ส.ค. 2026 ทีม CRM ควรใส่ข้อห้ามฝึกโมเดลในสัญญา และทำ DPIA ก่อนใช้ AI กับข้อมูลลูกค้า
- มาตรการปราบสแกมทำให้ SMS แนบลิงก์ใช้ยากขึ้น
ปี 2025 รัฐแก้ พ.ร.ก.ปราบอาชญากรรมทางเทคโนโลยี (12 เม.ย.) ธปท. ให้สถาบันการเงินเลิกส่ง SMS มีลิงก์ (25 ก.ค.) และ กสทช. ให้ผู้ส่ง SMS ธุรกิจลงทะเบียนชื่อผู้ส่งและให้ตรวจลิงก์ก่อนส่งถึงผู้รับ (28 ส.ค.) แบรนด์ควรลดการใช้ลิงก์ใน SMS ใช้ชื่อผู้ส่งที่ลงทะเบียน และพาลูกค้าไปที่แอปหรือ LINE OA ทางการแทน
- สคบ. เข้มเรื่องอินฟลูเอนเซอร์ ไลฟ์ และคนขายออนไลน์
ต.ค. 2025 สคบ. เตือนว่าคนขายออนไลน์รายได้ตั้งแต่ 1.8 ล้านบาทต่อปีต้องจดทะเบียนตลาดแบบตรง วันที่ 10 ก.ย. 2026 สคบ. ลงนาม MOU ให้อินฟลูเอนเซอร์เปิดเผยวัตถุประสงค์ทางการค้าในรีวิว ไลฟ์ ลิงก์ขายของ และคอนเทนต์ AI และมีร่างแก้กฎหมายให้คนรับจ้างโฆษณารับโทษเหมือนผู้กระทำผิด แบรนด์ควรใส่ข้อกำหนดเปิดเผยโฆษณาในสัญญาครีเอเตอร์ทุกครั้ง
- คุกกี้บุคคลที่สามยังอยู่ แต่ไม่ควรพึ่ง
เม.ย. 2025 Google ประกาศว่าจะคงคุกกี้บุคคลที่สามใน Chrome ไว้ และไม่ทำหน้าต่างถามแยก ต่อมา ต.ค. 2025 Google ยุติ Privacy Sandbox ส่วนร่างแนวปฏิบัติการตลาดของ สคส. ครอบคลุมการติดตามออนไลน์ด้วย ทีม CRM ยังต้องมี Cookie Banner ที่ถูกต้อง และควรลงทุนกับข้อมูลที่ลูกค้าให้โดยตรงพร้อม Consent ที่ตรวจย้อนได้
เรื่องนี้คืออะไร
ในยุคที่ข้อมูลคือทรัพย์สิน การเคารพความเป็นส่วนตัวของลูกค้าและการปฏิบัติตามกฎหมายด้านข้อมูล (PDPA, GDPR) เป็นเรื่องจำเป็น หมวดหมู่นี้เน้นการวางแผน ระบบ และการจัดการข้อมูลให้ปลอดภัยและโปร่งใส
ประโยชน์ที่ได้
- สร้างความเชื่อมั่นให้กับลูกค้าเกี่ยวกับการเก็บข้อมูล
- ลดความเสี่ยงทางกฎหมายและค่าปรับ
- สนับสนุนการทำงานของ CRM และการตลาดอย่างยั่งยืน
ศัพท์ที่ต้องรู้
- ข้อมูลส่วนบุคคล (Personal Data)
- ข้อมูลที่ระบุตัวคนได้ ทั้งทางตรงและทางอ้อม เช่น ชื่อ เบอร์โทร อีเมล LINE User ID เลขสมาชิก หรือประวัติซื้อที่โยงกลับถึงคนได้ ส่วนข้อมูลอ่อนไหว เช่น สุขภาพ ศาสนา ลายนิ้วมือ ใบหน้า ต้องขอความยินยอมแบบชัดแจ้งและดูแลเข้มกว่า
- ฐานทางกฎหมาย (Lawful Basis)
- เหตุผลที่กฎหมายยอมให้ใช้ข้อมูล เช่น ความยินยอม (Consent), สัญญา, หน้าที่ตามกฎหมาย, ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest) ทุกกิจกรรมใน CRM ต้องตอบได้ว่าใช้ฐานไหน และไม่ควรใช้ Consent เป็นฐานครอบจักรวาล
- ความยินยอม (Consent)
- การที่ลูกค้ากดยืนยันเองอย่างชัดเจน ต้องขอก่อนหรือขณะเก็บข้อมูล แยกจากเงื่อนไขบริการ ไม่ติ๊กไว้ให้ก่อน และถอนได้ง่ายเท่าตอนให้ ใช้เป็นฐานหลักของการส่งโปรโมชันทางตรง
- ผู้ควบคุมข้อมูล กับ ผู้ประมวลผลข้อมูล
- ผู้ควบคุมข้อมูล (Data Controller) คือแบรนด์ที่ตัดสินใจว่าจะใช้ข้อมูลทำอะไร ผู้ประมวลผล (Data Processor) คือผู้ทำตามคำสั่ง เช่น ผู้ให้บริการ CRM เอเจนซี หรือคนทำระบบ ปี 2025 สคส. ปรับทั้งสองฝ่าย และมีเคสที่ผู้ประมวลผลถูกปรับมากกว่าแบรนด์
- DPO (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล)
- คนที่ให้คำแนะนำ ตรวจการทำตามกฎหมาย และประสานกับ สคส. ต้องแต่งตั้งเมื่องานหลักของธุรกิจคือการติดตามพฤติกรรมลูกค้าเป็นประจำในปริมาณมาก เช่น บัตรสมาชิก หรือโฆษณาตามพฤติกรรม
- DSAR (คำขอใช้สิทธิของลูกค้า)
- คำขอจากเจ้าของข้อมูล เช่น ขอดู ขอแก้ ขอลบ ขอระงับ ขอโอนย้าย คัดค้าน หรือถอนความยินยอม องค์กรต้องมีช่องทางรับและตอบภายใน 30 วัน
- Data Breach (ข้อมูลรั่วหรือเสียหาย)
- เหตุที่ข้อมูลรั่ว ถูกแก้ หรือใช้งานไม่ได้ ผู้ควบคุมข้อมูลต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับจากรู้เหตุ เว้นแต่ไม่มีความเสี่ยงต่อลูกค้า และถ้าเสี่ยงสูงต้องแจ้งลูกค้าด้วย
- ROPA และ DPIA
- ROPA คือบัญชีรายการว่าใช้ข้อมูลทำอะไรบ้าง ส่วน DPIA คือการประเมินความเสี่ยงก่อนเริ่มงานเสี่ยงสูง เช่น ทำโปรไฟล์ลูกค้า หรือใช้ AI กับข้อมูลจำนวนมาก ทั้งสองเป็นหลักฐานว่าองค์กรรับผิดชอบจริง
ถาม-ตอบ
ไล่จากคำถามพื้นฐานไปถึงขั้นสูง ทุกข้อปิดท้ายด้วย Prompt ต่อยอดให้คัดลอกไปถาม AI ต่อ
เติมช่องว่างใน prompt อัตโนมัติกรอกข้อมูลธุรกิจครั้งเดียว ใช้ได้ทุก prompt
ข้อมูลเก็บไว้ในเบราว์เซอร์นี้เท่านั้น ไม่ได้ส่งไปที่ใด ช่องว่างที่ตรงกับข้อมูลนี้จะถูกเติมให้ทุก prompt ส่วนช่องอื่นกด "เติมช่องว่าง" ที่ prompt นั้น
Q1PDPA ใช้กับร้านเล็ก ๆ ที่ทำ CRM ผ่าน LINE OA ด้วยไหม
ใช้ ไม่ว่าธุรกิจจะเล็กหรือใหญ่ PDPA บังคับใช้เต็มรูปแบบตั้งแต่ มิ.ย. 2022 ถ้าร้านเก็บชื่อ เบอร์ LINE User ID หรือประวัติซื้อ เพื่อส่งข้อความหรือสะสมแต้ม ร้านคือ ผู้ควบคุมข้อมูล ทันที ส่วนผู้ให้บริการระบบที่ทำตามคำสั่งร้านคือ ผู้ประมวลผลข้อมูล ต้องมีสัญญากำกับ (DPA) หน้าที่พื้นฐานที่ทุกร้านต้องทำ:
- รู้ว่าแต่ละกิจกรรมใช้ฐานกฎหมายอะไร
- แจ้ง Privacy Notice (ประกาศว่าเก็บอะไร เพื่ออะไร) ก่อนเก็บข้อมูล
- ดูแลความปลอดภัย เช่น ไม่แชร์ไฟล์รายชื่อลูกค้าในกลุ่ม LINE
- รับคำขอใช้สิทธิของลูกค้า
- มีขั้นตอนเมื่อข้อมูลรั่ว ส่วนจะต้องมี DPO หรือไม่ ขึ้นกับลักษณะและปริมาณข้อมูล
ช่วยทำ Checklist หน้าที่ตาม PDPA สำหรับ [ประเภทธุรกิจ/ขนาด เช่น ร้านกาแฟ 3 สาขา] ที่ทำ CRM ผ่าน [LINE OA / แอป / หน้าร้าน] และเก็บข้อมูล [รายการข้อมูล] แบ่งเป็น ต้องทำทันที / ภายใน 3 เดือน / ขึ้นกับเงื่อนไข ตอบเป็นตาราง พร้อมคำถามที่ควรถามที่ปรึกษากฎหมาย
Q2สคส. ปรับจริงแล้วหรือยัง ปรับเพราะอะไรบ้าง
ปรับจริงแล้ว และปรับทั้งแบรนด์กับผู้ให้บริการระบบ ไทม์ไลน์:
- ส.ค. 2024: ค่าปรับครั้งแรก 7 ล้านบาท บริษัทเอกชนใหญ่ไม่มี DPO ทั้งที่มีข้อมูลลูกค้าเกินแสนราย ความปลอดภัยไม่พอจนข้อมูลถึงแก๊งคอลเซ็นเตอร์ และแจ้งเหตุช้า
- 1 ส.ค. 2025: ปรับ 8 คำสั่งใน 5 คดี รวมราว 14.5 ล้านบาท เช่น ร้านขายคอมพิวเตอร์ 7 ล้านบาท ร้านเครื่องสำอาง 2.5 ล้านบาท และบริษัทที่ทำระบบจองให้แบรนด์อาร์ตทอย (ผู้ประมวลผล) ถูกปรับ 3 ล้านบาท มากกว่าแบรนด์ที่ถูกปรับ 5 แสนบาท
- ยอดสะสม: ราว 21.5 ล้านบาท สาเหตุที่ซ้ำกันคือ ระบบความปลอดภัยอ่อน ไม่มี DPO ไม่แจ้งเหตุรั่ว และไม่มีสัญญากับผู้ประมวลผล สคส. ยังตั้งศูนย์ PDPC Eagle Eye ที่ตรวจไปแล้ว 590,001 URL ใน 6 เดือน (ต.ค. 2025–มี.ค. 2026) บทเรียนคือต้องตรวจ vendor และเอเจนซีที่แตะข้อมูลลูกค้าด้วย
ช่วยสรุปบทเรียนจากคดีที่ สคส. สั่งปรับปี 2024–2025 (ไม่มี DPO, ความปลอดภัยไม่พอ, ไม่แจ้งเหตุ, ไม่มีสัญญากับผู้ประมวลผล) แล้วแปลงเป็น Checklist ตรวจตัวเอง 15 ข้อสำหรับ [ประเภทธุรกิจ] ที่ใช้ vendor [รายชื่อระบบ/เอเจนซี] ให้คะแนนความเสี่ยงแต่ละข้อ
Q3ส่งโปรโมชันหาลูกค้าต้องขอ Consent เสมอไหม ใช้ฐานอื่นได้หรือเปล่า
ส่วนใหญ่ต้องใช้ Consent ที่แยกจากการสมัครบริการ ร่างแนวปฏิบัติด้านการตลาดและการตลาดทางตรงของ สคส. (เผยแพร่ 7 ก.ค. 2026) วางหลักไว้ว่า:
- Consent การตลาดต้อง แยก จากบริการหลัก
- ห้ามติ๊กไว้ให้ก่อน ห้ามมัดรวม และห้ามออกแบบหน้าจอหลอกให้กด
- คนที่ไม่รับการตลาดต้องยังใช้บริการหลักได้
- ต้องมีวิธีถอน Consent และคัดค้านการตลาดที่ใช้ได้จริง
- ระวังข้อมูลที่ได้จากพันธมิตรหรือ Data Broker (ผู้ขายรายชื่อ) ฐานประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest) อาจใช้กับบางงานได้ เช่น วิเคราะห์ภาพรวม แต่ต้องทำเอกสารประเมิน (LIA) และลูกค้าคัดค้านได้เสมอ ร่างนี้ยังไม่มีผลบังคับ แต่บอกทิศทางที่ สคส. จะใช้ตัดสิน ทางที่ปลอดภัยคือแยก “บริการสมาชิก” (ฐานสัญญา) ออกจาก “รับโปรโมชัน” (ฐาน Consent) ตั้งแต่ตอนสมัคร
ช่วยจัดกิจกรรม CRM ของ [ประเภทธุรกิจ] ต่อไปนี้ว่าควรใช้ฐานกฎหมายใด: [เช่น ส่ง SMS โปรโมชัน, แจ้งแต้มใกล้หมดอายุ, ทำ RFM Segmentation, ส่ง Birthday Reward, ยิงโฆษณาด้วยรายชื่อลูกค้า] พร้อมเหตุผล ความเสี่ยงตามร่างแนวปฏิบัติการตลาดของ สคส. ปี 2026 และเอกสารที่ต้องมี (Consent / LIA / DPIA) ตอบเป็นตาราง
Q4ฟอร์มขอ Consent ที่ถูกต้องหน้าตาเป็นยังไง
ต้องให้ลูกค้ากดยืนยันเอง แยกทีละเรื่อง และบันทึกหลักฐานได้ แนวปฏิบัติเรื่อง Consent ของ สคส. (ก.ย. 2022) ให้ขอก่อนหรือขณะเก็บข้อมูล และบอกวัตถุประสงค์ให้ครบ ฟอร์มที่ดีควรมี:
- ข้อความสั้น แยกข้อตามวัตถุประสงค์ เช่น รับโปรโมชัน / แชร์ข้อมูลให้พันธมิตร / วิเคราะห์พฤติกรรมเพื่อแนะนำสินค้า
- Checkbox แยกแต่ละข้อ ไม่ติ๊กไว้ให้ ไม่ผูกกับการยอมรับเงื่อนไขสมัครสมาชิก
- ลิงก์ไป Privacy Notice และบอกวิธีถอนที่ง่ายพอ ๆ กับตอนให้
- ระบบบันทึกว่าใครให้ เมื่อไร ผ่านช่องทางไหน ข้อความเวอร์ชันใด เด็กอายุต่ำกว่า 10 ปีต้องให้ผู้ปกครองให้ความยินยอม ธนาคาร ประกัน และหลักทรัพย์ต้องใช้แบบฟอร์มตามที่หน่วยงานกำกับกำหนด
เขียนข้อความขอ Consent สำหรับ [ช่องทาง เช่น หน้าสมัครสมาชิกใน LINE OA] ของ [ประเภทธุรกิจ] แยก 3 วัตถุประสงค์: [วัตถุประสงค์ 1], [วัตถุประสงค์ 2], [วัตถุประสงค์ 3] ภาษาไทยอ่านง่าย ข้อละไม่เกิน 40 คำ พร้อมข้อความบอกวิธีถอน และรายการข้อมูลที่ระบบต้องบันทึกเป็นหลักฐาน
Q5ลูกค้าขอดูข้อมูล ขอลบ หรือขอเลิกรับข่าวสาร ต้องทำอะไรภายในกี่วัน
โดยทั่วไปต้องดำเนินการภายใน 30 วัน และการเลิกรับข่าวสารควรมีผลเร็วกว่านั้นมาก สิ่งที่ทีม CRM ต้องเตรียม:
- ช่องทางรับคำขอ ที่ชัด เช่น อีเมล ฟอร์ม หน้าร้าน และวิธียืนยันตัวตนก่อนให้ข้อมูล
- ทะเบียนคำขอ บันทึกวันรับ ประเภทคำขอ ผู้รับผิดชอบ และวันปิดงาน
- ระบบที่ค้นข้อมูลของลูกค้าหนึ่งคนได้ทุกที่ ทั้ง CRM, LINE, POS และคลังข้อมูล แล้วลบหรือระงับได้จริง ไม่ใช่แค่ติดธง การเลิกรับข่าวสารต้องทำง่าย เช่น ปุ่ม Unsubscribe หรือพิมพ์คำสั่งใน LINE แล้วสถานะ Consent อัปเดตทุกช่องทางทันที ปัญหาที่พบบ่อยคือลูกค้ากดเลิกใน LINE แต่ยังได้ SMS เพราะฐานข้อมูลไม่เชื่อมกัน
ออกแบบขั้นตอนรับคำขอใช้สิทธิ (DSAR) ของ [ประเภทธุรกิจ] ที่เก็บข้อมูลใน [CRM, LINE OA, POS, Data Warehouse] ครอบคลุมสิทธิ [ขอดู/ลบ/ถอน Consent/คัดค้าน] ระบุขั้นตอน ผู้รับผิดชอบ การยืนยันตัวตน เหตุที่ปฏิเสธได้ และไทม์ไลน์ให้เสร็จภายใน 30 วัน ตอบเป็นตาราง
Q6ธุรกิจเราต้องมี DPO ไหม แล้ว DPO ต้องเป็นใคร
ต้องมี ถ้างานหลักของธุรกิจคือติดตามพฤติกรรมลูกค้าเป็นประจำในปริมาณมาก ประกาศ สคส. เรื่อง DPO มีผล 13 ธ.ค. 2023 ยกตัวอย่างการติดตามเป็นประจำ เช่น บัตรสมาชิก การให้คะแนนเครดิต การคิดเบี้ยประกัน การกันโกง และโฆษณาตามพฤติกรรม ส่วน “ปริมาณมาก” ดูหลายปัจจัย ตัวอย่างคือมีเจ้าของข้อมูลตั้งแต่ 100,000 รายขึ้นไป (เป็นตัวอย่าง ไม่ใช่เส้นตายตัว) ดังนั้นค้าปลีก ร้านอาหารเครือข่าย หรือแบรนด์ที่มี Loyalty Program ใหญ่ มักเข้าเกณฑ์ ถ้าไม่แต่งตั้งเมื่อเข้าเกณฑ์ มีโทษปรับทางปกครองสูงสุด 1 ล้านบาท และการไม่มี DPO เป็นหนึ่งในเหตุที่ถูกปรับจริงในปี 2024 และ 2025 DPO เป็นพนักงานหรือจ้างภายนอกก็ได้ แต่ต้องเข้าใจทั้งกฎหมายและระบบข้อมูล และไม่ควรเป็นคนที่ตัดสินใจใช้ข้อมูลเอง เช่น หัวหน้าการตลาด
ประเมินว่า [ประเภทธุรกิจ] ที่มีสมาชิก [จำนวน] ราย และทำกิจกรรม [เช่น สะสมแต้ม, Segmentation, โฆษณาตามพฤติกรรม] เข้าเกณฑ์ต้องแต่งตั้ง DPO หรือไม่ อธิบายตามเกณฑ์ งานหลัก / ติดตามเป็นประจำ / ปริมาณมาก และเสนอรูปแบบ DPO ที่เหมาะกับองค์กรขนาดนี้
Q7ถ้าข้อมูลลูกค้ารั่ว ต้องทำอะไรภายใน 72 ชั่วโมง
ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับจากรู้เหตุ ตามประกาศ สคส. (ธ.ค. 2022) เว้นแต่ประเมินแล้วว่าไม่มีความเสี่ยงต่อลูกค้า เช่น USB ที่เข้ารหัสไว้หาย ถ้าเสี่ยงสูงต้องแจ้งลูกค้าโดยไม่ชักช้า พร้อมบอกวิธีป้องกันตัว เนื้อหาที่ต้องแจ้ง: ลักษณะเหตุ ประเภทและจำนวนข้อมูลที่กระทบ ผลที่อาจเกิด วิธีแก้ และช่องทางติดต่อ DPO ผู้ประมวลผลต้องแจ้งแบรนด์โดยไม่ชักช้า จึงควรเขียนในสัญญาให้แจ้งภายในเวลาที่สั้นกว่า 72 ชั่วโมง นาฬิกาเริ่มเดินตอน “รู้เหตุ” ไม่ใช่ตอนเกิดเหตุ ทีมจึงต้องมีช่องทางให้พนักงานและ vendor รายงานทันที มีแบบประเมินความเสี่ยงสำเร็จรูป และมีคนตัดสินใจที่ติดต่อได้นอกเวลางาน การไม่แจ้งเหตุเป็นหนึ่งในเหตุที่ถูกปรับทั้งในปี 2024 และ 2025
สร้างแผนรับมือข้อมูลลูกค้ารั่วของ [ประเภทธุรกิจ] แบ่งช่วง 0–4 ชม. / 4–24 ชม. / 24–72 ชม. / หลัง 72 ชม. ระบุผู้รับผิดชอบ เกณฑ์ว่าต้องแจ้ง สคส. และลูกค้าหรือไม่ ร่างข้อความแจ้ง สคส. และแจ้งลูกค้าทาง [ช่องทาง] โดยไม่แนบลิงก์ และสิ่งที่ห้ามทำ
Q8ใช้ระบบ CRM หรือ Cloud ต่างประเทศ ถือว่าโอนข้อมูลข้ามประเทศไหม
ใช่ ถ้าข้อมูลลูกค้าไปเก็บหรือประมวลผลบนเซิร์ฟเวอร์นอกไทย เช่น เครื่องมือส่งอีเมล CDP หรือ Cloud ที่ตั้งในสิงคโปร์หรือสหรัฐฯ ประกาศ สคส. 2 ฉบับ (ออก 25 ธ.ค. 2023 มีผล 24 มี.ค. 2024) ให้ทางเลือกไว้:
- ประเทศปลายทางมีมาตรฐานคุ้มครองเพียงพอ
- ใช้ Binding Corporate Rules สำหรับโอนภายในเครือบริษัท
- ใช้ข้อสัญญามาตรฐาน (SCC) แบบ Thai Model หรือ Overseas Model หรือการรับรองมาตรฐาน นอกจากนี้ยังมีข้อยกเว้นตามกฎหมาย เช่น ได้รับความยินยอมหลังแจ้งความเสี่ยง หรือจำเป็นตามสัญญา ทางปฏิบัติคือทำทะเบียนว่าข้อมูลชุดไหนอยู่กับผู้ให้บริการรายใด ในประเทศใด ตรวจว่าสัญญามี DPA และ SCC และระบุเรื่องการโอนไว้ใน Privacy Notice เครื่องมือ AI ที่ประมวลผลนอกไทยก็เข้าข่ายเดียวกัน
ช่วยทำตารางประเมินการโอนข้อมูลข้ามประเทศของเครื่องมือที่ [ประเภทธุรกิจ] ใช้: [รายชื่อเครื่องมือ/ผู้ให้บริการและประเทศที่ตั้งเซิร์ฟเวอร์ รวมเครื่องมือ AI] ระบุประเภทข้อมูลที่ส่ง กลไกที่ควรใช้ เอกสารที่ต้องขอจากผู้ให้บริการ และข้อความที่ต้องเพิ่มใน Privacy Notice
Q9PDPA ต่างจาก GDPR ยังไง ถ้าทำตาม GDPR อยู่แล้วพอไหม
หลักการคล้ายกันมาก แต่ยังต้องปรับให้เข้ากับประกาศของไทย PDPA ร่างโดยอิง GDPR จึงมีเรื่องเดียวกัน คือ ฐานกฎหมาย การแจ้งลูกค้า สิทธิของลูกค้า การแจ้งเหตุรั่ว 72 ชั่วโมง และการโอนข้ามประเทศ จุดต่างที่ทีม CRM ควรรู้:
- บทลงโทษ: GDPR คิดค่าปรับเป็นสัดส่วนของรายได้ทั่วโลก ส่วน PDPA ปรับทางปกครองสูงสุด 5 ล้านบาท แต่มี โทษอาญา จำคุก 6 เดือนถึง 1 ปี หรือปรับสูงสุด 1 ล้านบาทในบางกรณี และผู้แทนนิติบุคคลอาจต้องรับผิดด้วย
- รายละเอียดเฉพาะไทย: แนวปฏิบัติ Consent ปี 2022 เกณฑ์ DPO ปี 2023 แบบฟอร์มของหน่วยงานกำกับ และร่างแนวปฏิบัติการตลาดปี 2026
- เอกสาร: Privacy Notice และฟอร์ม Consent ต้องมีภาษาไทยที่ลูกค้าเข้าใจ ถ้ามีระบบ GDPR อยู่แล้ว ถือว่าได้โครงสร้างส่วนใหญ่ แต่ต้องปรับเอกสาร เกณฑ์ DPO และกลไกโอนข้อมูลตามประกาศไทย
เปรียบเทียบ PDPA กับ GDPR ในเรื่องที่กระทบงาน CRM ของ [ประเภทธุรกิจ] ที่มีลูกค้าในไทยและ [ประเทศ/ภูมิภาค] เป็นตาราง: ฐานกฎหมายการตลาด / Consent / สิทธิลูกค้า / แจ้งเหตุรั่ว / โอนข้ามประเทศ / DPO / บทลงโทษ และบอกว่าต้องปรับอะไรจากระบบ GDPR ที่มี
Q10ตอนนี้ยังส่ง SMS แนบลิงก์หาลูกค้าได้ไหม มาตรการปราบสแกมกระทบ CRM ยังไง
ส่งได้แต่ยากขึ้นมาก และลูกค้าระแวงลิงก์มากขึ้น สิ่งที่เปลี่ยนในปี 2025:
- 12 เม.ย. 2025: แก้ พ.ร.ก.ปราบอาชญากรรมทางเทคโนโลยี (ฉบับที่ 2) ให้ธนาคาร ผู้ให้บริการชำระเงิน โทรคมนาคม และแพลตฟอร์มโซเชียล อาจต้องร่วมชดใช้ผู้เสียหายถ้าดูแลไม่ได้มาตรฐาน
- 25 ก.ค. 2025: ธปท. ให้สถาบันการเงินเลิกส่ง SMS ที่มีลิงก์
- 28 ส.ค. 2025: กสทช. ให้ผู้ส่ง SMS แบบธุรกิจ (A2P) ลงทะเบียนชื่อผู้ส่ง และข้อความที่มีลิงก์ต้องผ่านการตรวจก่อนถึงผู้รับ ผู้ส่งในประเทศต้องยืนยันตัวตน (KYC)
- พ.ย. 2025: ครม. ให้หน่วยงานรัฐเลิกส่งลิงก์ทาง SMS และอีเมล สำหรับแบรนด์ทั่วไป ให้ใช้ชื่อผู้ส่งที่ลงทะเบียนถูกต้อง เลี่ยงลิงก์ย่อ ใช้ SMS แจ้งข้อมูลโดยไม่ต้องคลิก แล้วให้ลูกค้าเข้าแอปหรือ LINE OA ทางการเอง ส่วนข้อมูลลูกค้าที่รั่วไปถึงแก๊งสแกม ก็เคยเป็นเหตุให้ สคส. ปรับมาแล้ว
ช่วยปรับแผนส่งข้อความของ [ประเภทธุรกิจ] ให้เข้ากับมาตรการปราบสแกมปี 2025 ตอนนี้ส่ง [SMS แนบลิงก์/LINE/อีเมล] เรื่อง [โปรโมชัน/แจ้งแต้ม/OTP] เขียนข้อความ SMS แบบไม่มีลิงก์ 3 แบบ เสนอช่องทางทดแทน และ Checklist ก่อนส่ง (ชื่อผู้ส่ง, Consent, ห้ามขอข้อมูลส่วนตัว) ตอบเป็นตาราง
Q11ขายผ่านอินฟลูเอนเซอร์หรือไลฟ์ ต้องระวังกฎของ สคบ. อะไรบ้าง
ต้องเปิดเผยว่าเป็นโฆษณา ห้ามอวดเกินจริง และดูว่าต้องจดทะเบียนตลาดแบบตรงไหม
- ใบอนุญาตตลาดแบบตรง: ต.ค. 2025 สคบ. เตือนว่าคนขายหรือชวนซื้อออนไลน์ที่มีรายได้ตั้งแต่ 1.8 ล้านบาทต่อปี ต้องขอจดทะเบียนตาม พ.ร.บ.ขายตรงและตลาดแบบตรง พ.ศ. 2545 ไม่จดมีโทษจำคุกและ/หรือปรับ และการโชว์ว่า “ขายหมดแล้ว” เพื่อเร่งคนซื้อ อาจเป็นโฆษณาเกินจริง
- MOU 10 ก.ย. 2026: สคบ. ลงนามกับภาคีโฆษณา ให้อินฟลูเอนเซอร์บอกวัตถุประสงค์ทางการค้าให้ชัด ครอบคลุมรีวิว ไลฟ์สด ลิงก์ขายของ และคอนเทนต์ที่สร้างด้วย AI
- ร่างแก้ พ.ร.บ.คุ้มครองผู้บริโภค (ข่าว 23 ก.ย. 2026): จะให้อินฟลูเอนเซอร์ ครีเอเตอร์ คนไลฟ์ และ affiliate ต้องแจ้งว่าเป็นโฆษณา และรับโทษเหมือนผู้กระทำผิด ยังเป็นร่าง แบรนด์ควรใส่ข้อกำหนดเปิดเผยโฆษณาและข้อห้ามอวดอ้างไว้ในสัญญาครีเอเตอร์ทุกครั้ง
ช่วยร่างข้อกำหนดสำหรับครีเอเตอร์และคนไลฟ์ที่ขายสินค้า [ประเภทสินค้า] ให้แบรนด์ [ชื่อ] ครอบคลุม: วิธีเปิดเผยว่าเป็นโฆษณาในคลิป ไลฟ์ และลิงก์ affiliate, คำอวดอ้างที่ห้ามพูด, การใช้คอนเทนต์ AI, การเก็บข้อมูลผู้ชมตาม PDPA และ Checklist ตรวจก่อนโพสต์ ตอบเป็นข้อสั้น ๆ ภาษาไทย
Q12Cookie Banner ต้องทำยังไง และคุกกี้บุคคลที่สามจะหายไปจริงไหม
ต้องขอความยินยอมก่อนเปิดคุกกี้โฆษณาและวิเคราะห์ ส่วนคุกกี้บุคคลที่สามใน Chrome ยังไม่หายไป คุกกี้ที่จำเป็นต่อเว็บ เช่น ตะกร้าสินค้า ล็อกอิน ใช้ได้โดยไม่ต้องขอ แต่ Pixel โฆษณา (Meta, Google, TikTok) และการวิเคราะห์พฤติกรรมต้องรอให้ผู้ใช้ยินยอมก่อน Banner ที่ดีมีปุ่ม “ยอมรับ” และ “ปฏิเสธ” เห็นชัดเท่ากัน มีปุ่มตั้งค่าแยกหมวด และบันทึกการเลือกพร้อมเวลา เรื่องที่เปลี่ยน: เม.ย. 2025 Google ประกาศว่าจะไม่ทำหน้าต่างถามเรื่องคุกกี้บุคคลที่สามแยกใน Chrome และ ต.ค. 2025 ยุติ Privacy Sandbox ส่วนร่างแนวปฏิบัติการตลาดของ สคส. ครอบคลุมการติดตามออนไลน์และการยิงโฆษณาบนแพลตฟอร์ม ข้อสรุปคือ คุกกี้ยังใช้ได้ แต่ไม่ควรเป็นฐานกลยุทธ์ ควรเน้น First-party Data (ข้อมูลที่ลูกค้าให้แบรนด์โดยตรง) เช่น สมัครสมาชิกผ่าน LINE OA พร้อม Consent ที่ตรวจย้อนได้
ออกแบบ Cookie Banner สำหรับเว็บ [ประเภทธุรกิจ] ที่ติด [รายการ Tag/Pixel] จัดหมวดคุกกี้ (จำเป็น / วิเคราะห์ / การตลาด) เขียนข้อความชั้นแรกและหน้าตั้งค่าเป็นภาษาไทย บอกว่าแต่ละ Tag ต้องทำงานอย่างไรเมื่อผู้ใช้ปฏิเสธ และข้อมูลหลักฐานที่ต้องบันทึก
Q13เอาข้อมูลลูกค้าไปใส่ ChatGPT หรือให้ AI วิเคราะห์ ผิด PDPA ไหม
ทำได้ถ้าอยู่ในกรอบ แต่ห้ามวางข้อมูลลูกค้าดิบในบัญชี AI ส่วนตัว ด่านที่ต้องผ่าน:
- วัตถุประสงค์: การใช้ AI ต้องตรงกับที่แจ้งไว้ใน Privacy Notice ถ้าจะใช้ข้อมูลเพื่อเรื่องใหม่ ต้องแจ้งลูกค้าใหม่
- สัญญากับผู้ให้บริการ AI: ร่างแนวทาง AI ของ สคส. (17 ก.พ. 2026) มองว่าผู้ให้บริการโมเดลเป็นผู้ประมวลผล แต่ถ้าเอาข้อมูลเราไปฝึกโมเดลเอง อาจกลายเป็นผู้ควบคุมข้อมูล สัญญาจึงควรห้ามนำข้อมูลไปฝึกโมเดล และบริการที่อยู่นอกไทยต้องมีกลไกโอนข้อมูลข้ามประเทศ
- ลดข้อมูล: ส่งเท่าที่จำเป็น ปิดชื่อ เบอร์ เลขบัตร ใช้ข้อมูลระดับกลุ่มแทนรายคน และตัดข้อมูลอ่อนไหวออก
- ประเมินความเสี่ยง: งาน AI ที่ตัดสินใจแทนคนแล้วมีผลสำคัญต่อลูกค้า ควรทำ DPIA และให้คนทบทวน ร่างแนวปฏิบัติการตลาด (ก.ค. 2026) ยังขอให้โปร่งใสเมื่อทำโปรไฟล์และการตลาดด้วย AI ทั้งสองฉบับยังเป็นร่าง แต่บอกทิศทางที่ สคส. คาดหวัง
คุณคือที่ปรึกษา PDPA ช่วยประเมินกรณี [ประเภทธุรกิจ] จะใช้ [เครื่องมือ AI] เพื่อ [งาน เช่น เขียนข้อความส่วนบุคคล, จัดกลุ่มลูกค้า, ทำนาย Churn] ด้วยข้อมูล [รายการฟิลด์] เสนอวิธีลดข้อมูล ฐานกฎหมาย ข้อที่ต้องมีในสัญญากับผู้ให้บริการ AI และโครง DPIA แบบย่อ ตอบเป็นตารางพร้อมระดับความเสี่ยง
KPI ที่ควรวัด
| ตัวชี้วัด | สูตร | ค่าอ้างอิง | ทำไมต้องดู |
|---|---|---|---|
| Marketing Consent Rate | จำนวนลูกค้าที่ให้ Consent รับการตลาด ÷ จำนวนลูกค้าที่ถูกขอ × 100 (แยกตามช่องทาง) | ขึ้นกับอุตสาหกรรมและการออกแบบฟอร์ม เทียบระหว่างช่องทางของตัวเอง | บอกขนาดฐานที่ทำการตลาดได้ถูกกฎหมาย และชี้ว่าฟอร์มช่องทางไหนออกแบบดี |
| Opt-out Rate (อัตราถอน Consent) | จำนวนที่ถอน Consent หรือกดเลิกรับ ÷ จำนวนที่ได้รับข้อความ × 100 | ขึ้นกับความถี่และความตรงใจของเนื้อหา ดูแนวโน้มรายแคมเปญ | เตือนว่าส่งถี่หรือไม่ตรงใจ และสะท้อนความไว้ใจของลูกค้า |
| DSAR Turnaround Time | ค่ามัธยฐานจำนวนวันจากรับคำขอถึงปิดคำขอ และ % ที่ปิดภายในกำหนด | ต้องเสร็จภายใน 30 วันตาม PDPA ตั้งเป้าภายในให้สั้นกว่านั้น | วัดว่าระบบและทีมตอบสิทธิลูกค้าได้จริง |
| Breach Notification Time | จำนวนชั่วโมงจากรู้เหตุถึงแจ้ง สคส. (และแจ้งลูกค้าเมื่อเสี่ยงสูง) | ไม่เกิน 72 ชั่วโมงตามประกาศ สคส. ปี 2022 ควรซ้อมให้ทำได้เร็วกว่านั้น | การไม่แจ้งหรือแจ้งช้าเป็นเหตุที่ถูกปรับจริงในปี 2024 และ 2025 |
| Consent Record Completeness | ลูกค้าที่มีหลักฐาน Consent ครบ (เวลา ช่องทาง เวอร์ชันข้อความ วัตถุประสงค์) ÷ ลูกค้าที่อยู่ในแคมเปญ × 100 | ควรเป็น 100% สำหรับทุกคนในกลุ่มเป้าหมาย | เมื่อมีข้อร้องเรียน องค์กรต้องพิสูจน์ได้ว่าได้ Consent จริง |
| Vendor Coverage (ผู้ประมวลผลที่มีสัญญาและตรวจแล้ว) | จำนวน vendor/เอเจนซีที่แตะข้อมูลลูกค้า และมี DPA + ผ่านการตรวจความปลอดภัยในปีนี้ ÷ vendor ทั้งหมด × 100 | ควรเป็น 100% | ปี 2025 สคส. ปรับทั้งแบรนด์และผู้ประมวลผล และการไม่มีสัญญากับผู้ประมวลผลเป็นหนึ่งในเหตุที่ถูกปรับ |
| Privacy Training Completion | พนักงานที่ผ่านการอบรม PDPA ในปีนี้ ÷ พนักงานที่แตะข้อมูลลูกค้า × 100 | ควรใกล้ 100% โดยเฉพาะหน้าร้าน แอดมินแชต และทีมการตลาด | คนหน้างานคือจุดที่ Consent บกพร่องและข้อมูลรั่วบ่อยที่สุด |
ขั้นตอนลงมือทำ
- ทำ ROPA: ไล่ว่าข้อมูลลูกค้าแต่ละชุดมาจากช่องทางไหน ใช้ทำอะไร อยู่ในระบบใด ประเทศใด และใช้ฐานกฎหมายอะไร
- แยก Consent การตลาดออกจากการสมัครบริการ ไม่ติ๊กไว้ให้ ไม่มัดรวม และให้คนที่ไม่รับการตลาดยังใช้บริการได้ ตามร่างแนวปฏิบัติของ สคส. ปี 2026
- เก็บ Consent ไว้ที่ข้อมูลลูกค้ากลางที่เดียว และตั้งให้ทุกแคมเปญกรองกลุ่มเป้าหมายตามสถานะ Consent อัตโนมัติ
- ตรวจ vendor และเอเจนซีทุกรายที่แตะข้อมูลลูกค้า ให้มี DPA เงื่อนไขแจ้งเหตุรั่ว และข้อห้ามนำข้อมูลไปฝึก AI
- ประเมินเกณฑ์ DPO และวางขั้นตอนรับคำขอใช้สิทธิภายใน 30 วัน กับแผนแจ้งเหตุรั่วภายใน 72 ชั่วโมง แล้วซ้อมปีละครั้ง
- ปรับช่องทางส่งข้อความตามมาตรการปราบสแกม: ลงทะเบียนชื่อผู้ส่ง SMS เลี่ยงลิงก์ และใส่ข้อกำหนดเปิดเผยโฆษณาในสัญญาครีเอเตอร์
- ทำ DPIA ก่อนเริ่มงานเสี่ยงสูง เช่น ทำโปรไฟล์หรือใช้ AI กับข้อมูลลูกค้า และทบทวน ROPA กับตัวชี้วัดทุกไตรมาส
ข้อผิดพลาดที่พบบ่อย
- มัด Consent การตลาดไว้กับการยอมรับเงื่อนไขสมัครสมาชิก หรือติ๊กไว้ให้ก่อนแยก Checkbox ต่อวัตถุประสงค์ ไม่ติ๊กให้ และให้คนที่ไม่รับการตลาดยังสมัครสมาชิกได้
- ลูกค้าถอน Consent ในช่องทางหนึ่ง แต่ยังได้ข้อความจากอีกช่องทางเก็บสถานะ Consent ที่ข้อมูลลูกค้ากลางที่เดียว และให้ทุกเครื่องมือส่งข้อความเช็กก่อนส่ง
- คิดว่าความรับผิดอยู่ที่ vendor ระบบ เลยไม่ตรวจสัญญาและความปลอดภัยของผู้ประมวลผลทำ DPA กับทุกราย ตรวจความปลอดภัยปีละครั้ง และกำหนดเวลาแจ้งเหตุในสัญญา เพราะ สคส. ปรับทั้งแบรนด์และผู้ประมวลผล
- ซื้อหรือรับรายชื่อจากพันธมิตรหรือ Data Broker มาส่งโปรโมชันโดยไม่ตรวจที่มาของ Consentขอหลักฐานฐานกฎหมายจากต้นทาง ทำ DPIA และแจ้งลูกค้าเมื่อได้ข้อมูลจากแหล่งอื่น
- ยังส่ง SMS แนบลิงก์ย่อแบบเดิม จนถูกกรองหรือทำให้ลูกค้าคิดว่าเป็นสแกมใช้ชื่อผู้ส่งที่ลงทะเบียน ส่งข้อมูลที่ไม่ต้องคลิก และพาลูกค้าไปที่แอปหรือ LINE OA ทางการ
- วางข้อมูลลูกค้ารายคนลงในบัญชี AI ส่วนตัวเพื่อให้ช่วยเขียนหรือวิเคราะห์ใช้บัญชีองค์กรที่มีสัญญาห้ามนำข้อมูลไปฝึกโมเดล ส่งเฉพาะข้อมูลที่ปิดชื่อหรือข้อมูลระดับกลุ่ม และมีนโยบายการใช้ AI เป็นลายลักษณ์อักษร
Mega Prompt สำหรับงานใหญ่
Prompt แบบเต็ม มีบทบาท บริบท งาน ข้อจำกัด และรูปแบบผลลัพธ์ เติม [ช่องว่าง] แล้วใช้ได้เลย
ตรวจช่องว่าง PDPA ของงาน CRM (Gap Assessment)
ใช้เมื่อ ใช้เมื่อต้องตรวจความพร้อมด้าน PDPA ของงาน CRM ทั้งหมดก่อนแคมเปญใหญ่ หรือก่อนถูกตรวจสอบ
คุณคือที่ปรึกษา PDPA ที่เชี่ยวชาญงาน CRM และการตลาดในไทย บริบท: [ประเภทธุรกิจ] มีสมาชิก [จำนวน] ราย เก็บข้อมูลผ่าน [ช่องทาง] ใช้ระบบ [รายการระบบ vendor และประเทศที่ตั้งเซิร์ฟเวอร์] กิจกรรมหลัก [เช่น สะสมแต้ม, Broadcast, Segmentation, ใช้ AI, แชร์ข้อมูลกับพันธมิตร] สิ่งที่มีแล้ว [เช่น มี Privacy Notice แต่ยังไม่มี DPO] งาน: ประเมินช่องว่างตามหมวด: ฐานกฎหมายและ Consent (เทียบร่างแนวปฏิบัติการตลาดของ สคส. ปี 2026) / Privacy Notice / สิทธิลูกค้า / ความปลอดภัยและการแจ้งเหตุ / DPO / โอนข้ามประเทศ / vendor และสัญญา / การใช้ AI / การอบรม แต่ละช่องว่างระบุ: ความเสี่ยง (สูง/กลาง/ต่ำ) เหตุผล สิ่งที่ต้องทำ ผู้รับผิดชอบ และลำดับ ข้อจำกัด: ถ้าไม่แน่ใจเรื่องตัวเลขโทษหรือสถานะกฎหมาย ให้บอกว่าต้องให้ที่ปรึกษากฎหมายยืนยัน แยกให้ชัดว่าอะไรเป็นกฎหมายแล้ว อะไรยังเป็นร่าง รูปแบบผลลัพธ์: ตาราง Gap + แผน 90 วันแบ่ง 3 ช่วง + คำถามสำหรับที่ปรึกษากฎหมาย
ออกแบบระบบจัดการ Consent ข้ามช่องทาง
ใช้เมื่อ ใช้เมื่อต้องวางระบบเก็บ บันทึก และบังคับใช้ Consent จาก LINE OA แอป หน้าร้าน และเว็บ ให้เป็นที่เดียว
คุณคือ CRM Solution Architect ที่เข้าใจ PDPA บริบท: [ประเภทธุรกิจ] เก็บ Consent จาก [LINE OA, แอป, หน้าร้านผ่านพนักงาน, เว็บ] และส่งข้อความผ่าน [เครื่องมือ] วัตถุประสงค์ที่ขอ [รายการ] ระบบหลัก [ชื่อ CRM/CDP] งาน: 1. โครงสร้างข้อมูล Consent (purpose, status, timestamp, channel, notice_version, evidence) 2. วิธีขอในแต่ละช่องทางและการรวมเข้าศูนย์กลาง โดยแยก Consent การตลาดออกจากบริการหลัก 3. กฎกรองกลุ่มเป้าหมายก่อนส่งแคมเปญ 4. ขั้นตอนถอน Consent และเวลาที่ต้องมีผลทุกช่องทาง 5. วิธีจัดการกรณีขัดกัน เช่น ให้ในช่องทางหนึ่งแต่ถอนในอีกช่องทาง 6. รายงานและ Audit Log ข้อจำกัด: ต้องพิสูจน์หลักฐานย้อนหลังได้ และพนักงานหน้าร้านใช้ได้ง่าย รูปแบบผลลัพธ์: แผนผังขั้นตอนแบบข้อความ + ตารางฟิลด์ + กรณียาก 5 ข้อพร้อมวิธีจัดการ
แผนรับมือข้อมูลรั่ว 72 ชั่วโมง
ใช้เมื่อ ใช้เมื่อต้องมีแผนรับมือข้อมูลรั่วที่ทีมทำตามได้ทันที โดยไม่ต้องคิดใหม่ตอนเกิดเหตุ
คุณคือ DPO ของ [ประเภทธุรกิจ] บริบท: ระบบที่เก็บข้อมูลลูกค้า [รายการระบบ] vendor ภายนอก [รายชื่อ] ทีมที่เกี่ยวข้อง [IT, CRM, Legal, PR, Customer Service] ข้อมูลที่เก็บ [ประเภทข้อมูล รวมข้อมูลอ่อนไหวถ้ามี] งาน: เขียนแผนสำหรับสถานการณ์ [เช่น พนักงาน Export รายชื่อออกไป / vendor ระบบจองถูกเจาะ / ส่งข้อความผิดคน] แบ่งช่วง 0–4 ชม. (หยุดเหตุและเปิดบันทึก), 4–24 ชม. (ประเมินความเสี่ยง), 24–72 ชม. (ตัดสินใจแจ้ง สคส. และเตรียมข้อความ), หลัง 72 ชม. (แจ้งลูกค้าถ้าเสี่ยงสูง เยียวยา สรุปบทเรียน) ระบุผู้ตัดสินใจแต่ละจุด ร่างข้อความแจ้ง สคส. ให้ครบตามประกาศ ร่างข้อความแจ้งลูกค้าภาษาไทยทาง [ช่องทาง] โดยไม่แนบลิงก์ (เพราะลูกค้าระแวงสแกม) และสิ่งที่ห้ามทำ เช่น ลบ log รูปแบบผลลัพธ์: ตารางไทม์ไลน์ + แบบประเมินความเสี่ยง + ข้อความ 2 ฉบับ
เขียน Privacy Notice และข้อความขอ Consent ภาษาไทย
ใช้เมื่อ ใช้เมื่อต้องร่างหรือปรับเอกสารแจ้งลูกค้าให้ครบตามกฎหมาย แต่คนทั่วไปอ่านเข้าใจ
คุณคือนักกฎหมายด้านข้อมูลส่วนบุคคลที่เขียนภาษาไทยให้คนทั่วไปเข้าใจ บริบท: [ประเภทธุรกิจ] เก็บข้อมูล [รายการ] จาก [ช่องทาง] เพื่อ [วัตถุประสงค์พร้อมฐานกฎหมาย] เก็บไว้ [ระยะเวลา] แชร์ให้ [ผู้รับ/ผู้ประมวลผล รวมผู้ให้บริการ AI] โอนไปต่างประเทศที่ [ประเทศ] ผ่าน [SCC/BCR/ความยินยอม] ช่องทางใช้สิทธิ [อีเมล/ฟอร์ม] DPO ติดต่อที่ [ข้อมูลติดต่อ] งาน: 1. Privacy Notice ฉบับย่อ (ไม่เกิน 300 คำ) สำหรับหน้าสมัคร และฉบับเต็มแบ่งหัวข้อ 2. ข้อความขอ Consent แยกตามวัตถุประสงค์ ข้อละไม่เกิน 40 คำ 3. ข้อความยืนยันเมื่อลูกค้าถอน Consent ข้อจำกัด: ภาษาไทยชัด ไม่ใช้ศัพท์กฎหมายเกินจำเป็น ห้ามมัดรวมวัตถุประสงค์ บอกผลของการไม่ให้ข้อมูลแต่ละข้อ และบอกให้ชัดถ้าใช้ AI ทำโปรไฟล์ รูปแบบผลลัพธ์: เอกสาร 3 ส่วน + หมายเหตุจุดที่ควรให้ที่ปรึกษากฎหมายตรวจ
ตรวจแคมเปญก่อนปล่อยตามกฎปี 2026
ใช้เมื่อ ใช้ก่อนปล่อยแคมเปญที่ใช้ SMS, LINE, ครีเอเตอร์ ไลฟ์ หรือรายชื่อจากพันธมิตร เพื่อเช็ก PDPA มาตรการปราบสแกม และกฎ สคบ. ในครั้งเดียว
คุณคือผู้ตรวจ Compliance ด้านการตลาดในไทย บริบท: แคมเปญ [ชื่อ] ของ [ประเภทธุรกิจ] กลุ่มเป้าหมาย [ที่มาของรายชื่อ เช่น สมาชิกเดิม / พันธมิตร / ผู้ชมไลฟ์] ช่องทาง [SMS / LINE OA / อีเมล / ครีเอเตอร์ / ไลฟ์] ข้อความร่าง: [วางข้อความ] ใช้ AI ช่วย [ระบุ ถ้ามี] งาน: ตรวจแล้วให้ผลผ่าน/ไม่ผ่าน/ต้องถาม Legal ในหัวข้อ: 1. ฐานกฎหมายและหลักฐาน Consent ของกลุ่มเป้าหมาย (ตามร่างแนวปฏิบัติการตลาดของ สคส. ก.ค. 2026) 2. วิธีเลิกรับที่ง่ายและมีผลทุกช่องทาง 3. SMS: ชื่อผู้ส่งที่ลงทะเบียน ลิงก์ และถ้อยคำที่อาจดูเหมือนสแกม 4. ครีเอเตอร์/ไลฟ์: การเปิดเผยว่าเป็นโฆษณา คำอวดอ้าง และเกณฑ์จดทะเบียนตลาดแบบตรง 5. การทำโปรไฟล์หรือใช้ AI ที่ต้องแจ้งให้โปร่งใส ข้อจำกัด: แยกให้ชัดว่าข้อใดเป็นกฎหมายที่มีผลแล้ว ข้อใดเป็นร่างหรือ MOU รูปแบบผลลัพธ์: ตาราง Checklist + ข้อความที่แก้แล้ว + คำถามถึง Legal/DPO
ประเมินความเสี่ยงก่อนใช้ AI กับข้อมูลลูกค้า (DPIA แบบย่อ)
ใช้เมื่อ ใช้ก่อนเริ่มใช้ AI ทำโปรไฟล์ ทำนายพฤติกรรม หรือตอบลูกค้าด้วยข้อมูลส่วนบุคคล
คุณคือ DPO ที่เข้าใจทั้ง PDPA และ AI บริบท: [ประเภทธุรกิจ] จะใช้ [เครื่องมือ/ผู้ให้บริการ AI และประเทศที่ประมวลผล] เพื่อ [งาน เช่น Agent ตอบแชต, ให้คะแนน Churn, เขียนข้อความส่วนบุคคล] ด้วยข้อมูล [รายการฟิลด์] ผลลัพธ์จะใช้เพื่อ [การตัดสินใจที่มีผลต่อลูกค้า เช่น ให้หรือไม่ให้สิทธิพิเศษ] งาน: 1. ระบุบทบาท: เราเป็นผู้ควบคุม ผู้ให้บริการ AI เป็นผู้ประมวลผล หรืออาจเป็นผู้ควบคุมถ้านำข้อมูลไปฝึกโมเดล 2. ฐานกฎหมายและการแจ้งลูกค้า ถ้าเป็นวัตถุประสงค์ใหม่ 3. วิธีลดข้อมูลและปิดตัวตนก่อนส่ง 4. ข้อที่ต้องมีในสัญญา (ห้ามฝึกโมเดล ลบข้อมูล แจ้งเหตุ โอนข้ามประเทศ) 5. จุดที่คนต้องทบทวนผลของ AI และวิธีรับคำร้องจากลูกค้า 6. log ที่ต้องเก็บเพื่อตรวจย้อนหลัง ข้อจำกัด: อ้างร่างแนวทาง AI ของ สคส. (ก.พ. 2026) โดยบอกว่ายังเป็นร่าง รูปแบบผลลัพธ์: ตาราง DPIA (ความเสี่ยง ระดับ มาตรการ ผู้รับผิดชอบ) + สรุปสำหรับผู้บริหาร 5 บรรทัด
Prompt 20 รายการจากหนังสือ
หมายเลข 24.1–24.20 ตาม 500 CRM Prompts Book เติม [ช่องว่าง] ให้เป็นบริบทของคุณก่อนส่ง
เติมช่องว่างใน prompt อัตโนมัติกรอกข้อมูลธุรกิจครั้งเดียว ใช้ได้ทุก prompt
ข้อมูลเก็บไว้ในเบราว์เซอร์นี้เท่านั้น ไม่ได้ส่งไปที่ใด ช่องว่างที่ตรงกับข้อมูลนี้จะถูกเติมให้ทุก prompt ส่วนช่องอื่นกด "เติมช่องว่าง" ที่ prompt นั้น
- 24.1วางแผนการเก็บข้อมูลลูกค้าให้ถูกต้องตาม [PDPA, GDPR หรือกฎหมายท้องถิ่น]
- 24.2สร้าง Workflow การขอความยินยอม (Consent Management) อัตโนมัติใน [CRM System]
- 24.3ออกแบบแบบฟอร์มขอความยินยอมที่เข้าใจง่าย เช่น [Checkboxes, Popup Forms]
- 24.4แนะนำวิธีใช้ AI เพื่อตรวจสอบ Compliance เช่น [Data Breach Detection, Policy Violation Monitoring]
- 24.5สรุป KPI สำหรับวัดผล Compliance เช่น [Consent Rate, Data Breach Response Time]
- 24.6วิเคราะห์ Pain Point ที่เสี่ยงต่อการละเมิดข้อมูลใน [กระบวนการหรือแคมเปญ]
- 24.7สร้าง Flow การแจ้งเตือนเมื่อมีเหตุ Data Breach ผ่าน [Incident Response Workflow]
- 24.8วางแผนการอบรมทีมงานเรื่อง Data Privacy Awareness
- 24.9ออกแบบกิจกรรมส่งเสริมวัฒนธรรม Data Privacy เช่น [Data Privacy Day Campaign]
- 24.10สรุปข้อดีข้อเสียของแต่ละวิธีเก็บข้อมูล เช่น [First-party vs Third-party Data Collection]
- 24.11แนะนำวิธี Integrate ระบบ Compliance เข้ากับ CRM เช่น [OneTrust, TrustArc]
- 24.12สร้าง Script โทรศัพท์สำหรับการแจ้งเตือน Data Privacy Policy Update
- 24.13ออกแบบโปรโมชั่นสำหรับลูกค้าที่ให้ความยินยอม เช่น [Loyalty Points Bonus]
- 24.14วิเคราะห์ Conversion Rate ของการขอ Consent บนแต่ละช่องทาง
- 24.15วางแผนการใช้ Data Analytics เพื่อ Compliance Monitoring
- 24.16สรุป Pain Point ของทีม Legal/Compliance และแนวทางสนับสนุน
- 24.17แนะนำวิธีติดตามผล Compliance แบบ Realtime Dashboard
- 24.18สร้าง Survey สำหรับทีมงานเกี่ยวกับความรู้ด้าน Data Privacy
- 24.19วางแผนการใช้ Omnichannel เพื่อบริหารการขอความยินยอม
- 24.20วิเคราะห์ผลกระทบของการละเมิดข้อมูลต่อความเชื่อมั่นของลูกค้า (Trust Impact)
บริบทตลาดไทย
ความเสี่ยง PDPA ของงาน CRM ไทยมักเกิดที่หน้างาน เช่น พนักงานกดยินยอมแทนลูกค้า ถ่ายบัตรประชาชนเกินจำเป็น หรือส่งไฟล์รายชื่อในกลุ่ม LINE ตอนนี้ สคส. ปรับจริงแล้ว ตั้งแต่ปี 2024 รวมกว่า 21.5 ล้านบาท และปรับทั้งแบรนด์กับ vendor ที่ทำระบบให้ ข้อมูลที่รั่วยังมักถูกแก๊งคอลเซ็นเตอร์นำไปใช้ รัฐจึงออกมาตรการปราบสแกม ทั้งการลงทะเบียนชื่อผู้ส่ง SMS การตรวจลิงก์ และให้ธนาคารกับหน่วยงานรัฐเลิกส่งลิงก์ ลูกค้าไทยจึงระแวงข้อความที่มีลิงก์ ปี 2026 สคส. ออกร่างแนวปฏิบัติด้านการตลาด (ก.ค.) และร่างแนวทาง AI (ก.พ.) ส่วน สคบ. เข้มเรื่องอินฟลูเอนเซอร์และคนไลฟ์ที่ต้องเปิดเผยว่าเป็นโฆษณา ธนาคาร ประกัน และหลักทรัพย์ต้องใช้แบบฟอร์ม Consent ตามหน่วยงานกำกับด้วย และเครื่องมือการตลาดส่วนใหญ่ตั้งเซิร์ฟเวอร์นอกไทย จึงต้องจัดการเรื่องโอนข้อมูลข้ามประเทศ
สิ่งที่ทีมข้อมูลต้องเตรียม
ทีม Data ต้องเตรียม (1) ตาราง consent ระดับ ลูกค้า × วัตถุประสงค์ เก็บ status, timestamp, channel, notice_version, evidence แบบ append-only (2) consent flag ที่ sync ไปทุกระบบส่งข้อความ และ pipeline ที่บังคับกรองก่อนส่งแคมเปญ (3) data inventory/ROPA ที่ค้นได้ว่าข้อมูลของลูกค้าหนึ่งคนอยู่ตารางใดบ้าง เพื่อตอบคำขอภายใน 30 วัน (4) กลไกลบหรือ pseudonymize ที่ใช้ได้จริงทั้งใน warehouse และ backup (5) access log และ export log พร้อม alert เมื่อมีการดึงข้อมูลผิดปกติ (6) ทะเบียน vendor/processor พร้อมประเทศ สถานะ DPA/SCC และวันตรวจความปลอดภัยล่าสุด (7) ทะเบียนชื่อผู้ส่ง SMS และ log ลิงก์ที่ส่ง (8) ชุดข้อมูลนิรนามหรือระดับกลุ่มสำหรับงานวิเคราะห์และ AI พร้อม log การเรียกใช้ AI
แหล่งอ้างอิง
- Nagashima Ohno & Tsunematsu: Huge fines imposed by Thailand's PDPC (22 Aug 2025)ค่าปรับ 8 คำสั่ง 5 คดี รวม 14.5 ล้านบาท (1 ส.ค. 2025) ผู้ประมวลผลถูกปรับ ยอดสะสมราว 21.5 ล้านบาท
- Tilleke & Gibbins: Landmark Fine Imposed under Thailand's PDPA (22 Aug 2024)ค่าปรับครั้งแรก 7 ล้านบาท: ไม่มี DPO ความปลอดภัยไม่พอ แจ้งเหตุช้า
- Tilleke & Gibbins: Thailand Releases New Draft PDPA Guidance on Lawful Bases and Marketing (16 Jul 2026)ร่างแนวปฏิบัติการตลาด 7 ก.ค. 2026: แยก Consent ห้ามติ๊กล่วงหน้า/มัดรวม ไม่ตัดบริการ ถอนได้ ระวัง Data Broker และ AI-driven marketing
- Tilleke & Gibbins: Thailand Seeks Feedback on Draft Data Protection Guidelines for AI (23 Feb 2026)ร่างแนวทาง AI ของ สคส. 17 ก.พ. 2026: บทบาทผู้ควบคุม/ผู้ประมวลผล DPIA ข้อห้ามฝึกโมเดลใน DPA
- Tilleke & Gibbins: Thailand PDPC Notification on Data Breachesประกาศ 15 ธ.ค. 2022: แจ้งภายใน 72 ชม. เนื้อหาที่ต้องแจ้ง การแจ้งลูกค้าเมื่อเสี่ยงสูง ข้อยกเว้น
- Tilleke & Gibbins: Thailand Unveils Regulations for Cross-Border Personal Data Transferประกาศ 25 ธ.ค. 2023 มีผล 24 มี.ค. 2024: Adequacy, BCR, SCC (Thai/Overseas Model), Certification
- Tilleke & Gibbins: Thailand Issues Guidelines on PDPA Consent and Notification Requirementsแนวปฏิบัติ Consent 7 ก.ย. 2022: การกระทำยืนยันชัดเจน เด็กต่ำกว่า 10 ปี แบบฟอร์มของหน่วยงานกำกับ
- KPMG Thailand: Legal News Update Issue 26 (DPO)เกณฑ์ DPO มีผล 13 ธ.ค. 2023 ตัวอย่าง 100,000 ราย โทษปรับสูงสุด 1 ล้านบาท
- Legal 500 / Mahanakorn Partners: Thailand's Personal Data Protection – Overview and Updates (Dec 2024)บทลงโทษ: ปกครองสูงสุด 5 ล้านบาท อาญาจำคุก 6 เดือน–1 ปี/ปรับสูงสุด 1 ล้านบาท ความรับผิดของผู้แทนนิติบุคคล
- กรุงเทพธุรกิจ: ครม. สั่งหน่วยงานรัฐหยุดส่งลิงก์ทุกช่องทางธปท. ห้ามสถาบันการเงินส่ง SMS มีลิงก์ (25 ก.ค. 2025), กสทช. ให้ลงทะเบียนผู้ส่ง A2P และตรวจลิงก์ (28 ส.ค. 2025), มติ ครม. (ข่าว พ.ย. 2025)