PDPA กับการเลือก Hosting 2026 เว็บไทยต้องเตรียมอะไร

PDPA and hosting in 2026: what Thai website owners must prepare — personal data handling, server location, backups, security and a practical checklist.

PDPA คืออะไร และเกี่ยวกับเว็บไซต์อย่างไร

PDPA คือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ของไทย ซึ่งบังคับใช้เต็มรูปแบบตั้งแต่เดือนมิถุนายน 2565 กำหนดว่าการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลต้องมีฐานทางกฎหมายและต้องดูแลข้อมูลให้ปลอดภัย เว็บไซต์ที่เก็บชื่อ อีเมล เบอร์โทร หรือคุกกี้ ล้วนเข้าข่าย

PDPA is Thailand’s Personal Data Protection Act B.E. 2562, fully enforced since June 2022. It requires a lawful basis for collecting, using or disclosing personal data and that the data be kept secure. Any website collecting names, emails, phone numbers or cookies falls under it.

• บังคับใช้เต็มรูปแบบตั้งแต่ มิถุนายน 2565
• ครอบคลุมข้อมูลที่ระบุตัวบุคคลได้ เช่น ชื่อ อีเมล เบอร์ IP
• ต้องมีฐานทางกฎหมายในการเก็บ เช่น ความยินยอม
• ผู้ฝ่าฝืนมีโทษทั้งทางแพ่ง อาญา และปกครอง
• ใช้กับทั้งบริษัทและบุคคลที่เก็บข้อมูลเชิงธุรกิจ

ผู้ควบคุมข้อมูล กับ ผู้ประมวลผลข้อมูล

PDPA แยกบทบาทเป็นผู้ควบคุมข้อมูล (Data Controller) ที่ตัดสินใจว่าจะเก็บอะไรเพื่ออะไร กับผู้ประมวลผลข้อมูล (Data Processor) ที่ประมวลผลแทน เจ้าของเว็บมักเป็นผู้ควบคุม ส่วนผู้ให้บริการโฮสติ้งมักอยู่ในฐานะผู้ประมวลผล จึงควรมีข้อตกลงระหว่างกัน

PDPA separates the data controller, who decides what data to collect and why, from the data processor, who processes it on their behalf. A website owner is usually the controller while the hosting provider is typically a processor — so an agreement between them is needed.

• Data Controller: เจ้าของเว็บ/ธุรกิจ ตัดสินใจเรื่องข้อมูล
• Data Processor: โฮสต์ คลาวด์ บริการที่ประมวลผลแทน
• ควรมีข้อตกลงประมวลผลข้อมูล (DPA) กับผู้ให้บริการ
• ผู้ควบคุมต้องคุมให้ผู้ประมวลผลมีมาตรการปลอดภัยพอ
• บางองค์กรต้องแต่งตั้ง DPO (เจ้าหน้าที่คุ้มครองข้อมูล)

ข้อมูลส่วนบุคคลที่เว็บไซต์มักเก็บ

ก่อนทำให้สอดคล้อง PDPA ต้องรู้ก่อนว่าเว็บคุณเก็บข้อมูลอะไรบ้าง หลายเว็บเก็บข้อมูลมากกว่าที่คิด ทั้งจากแบบฟอร์ม คอมเมนต์ ระบบสมาชิก ไปจนถึงคุกกี้ติดตามและ log ของเซิร์ฟเวอร์

Before achieving PDPA compliance you must know what your site collects. Many sites gather more than they realise — from forms, comments and membership systems to tracking cookies and server logs.

• ฟอร์มติดต่อ/สมัคร: ชื่อ อีเมล เบอร์โทร ที่อยู่
• ระบบสมาชิกและตะกร้าสินค้า: บัญชีและประวัติการสั่งซื้อ
• คุกกี้และเครื่องมือวิเคราะห์: พฤติกรรมและ IP
• Log ของเซิร์ฟเวอร์: IP เวลาเข้าถึง
• ข้อมูลการชำระเงิน (มักผ่านเกตเวย์ ไม่เก็บเลขบัตรเอง)

เลือก Hosting อย่างไรให้สอดคล้อง PDPA

โฮสติ้งคือที่ที่ข้อมูลส่วนบุคคลถูกจัดเก็บจริง การเลือกโฮสต์ที่มีมาตรการความปลอดภัยและกระบวนการที่ชัดเจนจึงเป็นส่วนสำคัญของการทำตาม PDPA จากที่เราพิจารณา ปัจจัยเรื่องที่ตั้งเซิร์ฟเวอร์ การเข้ารหัส การสำรองข้อมูล และการควบคุมการเข้าถึง คือสิ่งที่ต้องดู

Hosting is where personal data actually lives, so choosing a host with clear security measures and processes is a key part of PDPA compliance. In our assessment, server location, encryption, backups and access control are the factors to examine.

• มาตรการความปลอดภัย: SSL ฟรี ไฟร์วอลล์ สแกนมัลแวร์
• การสำรองข้อมูลสม่ำเสมอและกู้คืนได้
• การควบคุมการเข้าถึงและบันทึกการเข้าถึง
• พร้อมทำข้อตกลงประมวลผลข้อมูล (DPA) กับลูกค้า
• ทีมซัพพอร์ตที่ตอบเรื่องความปลอดภัยได้จริง

ที่ตั้งเซิร์ฟเวอร์สำคัญกับ PDPA ไหม

PDPA มีหลักเกณฑ์เรื่องการส่งข้อมูลไปต่างประเทศ การเก็บข้อมูลไว้บนเซิร์ฟเวอร์ในไทยช่วยลดความซับซ้อนเรื่องการโอนข้ามแดน และมักทำให้เว็บโหลดเร็วขึ้นสำหรับผู้ชมในประเทศไปพร้อมกัน

PDPA has rules on cross-border data transfers. Keeping data on servers in Thailand reduces the complexity of international transfers and, at the same time, usually makes the site faster for local visitors.

• การโอนข้อมูลออกนอกประเทศมีเงื่อนไขเพิ่มเติม
• เซิร์ฟเวอร์ในไทยลดประเด็น cross-border transfer
• data residency ในไทยอธิบายต่อผู้ใช้และผู้ตรวจง่ายกว่า
• ได้ความเร็วสำหรับผู้ชมไทยเป็นของแถม
• หากใช้คลาวด์ต่างประเทศ ต้องมีมาตรการคุ้มครองที่เหมาะสม

มาตรการที่ต้องทำบนเว็บไซต์

นอกจากเลือกโฮสต์ที่ดี เจ้าของเว็บต้องทำส่วนของตัวเองด้วย ทั้งนโยบายความเป็นส่วนตัว แบนเนอร์คุกกี้ การขอความยินยอม และช่องทางให้เจ้าของข้อมูลใช้สิทธิ์ เช่น ขอดูหรือลบข้อมูล

Beyond choosing a good host, owners must do their part: a privacy policy, a cookie banner, consent collection, and a channel for data subjects to exercise rights such as accessing or deleting their data.

• จัดทำนโยบายความเป็นส่วนตัว (Privacy Policy) ชัดเจน
• แบนเนอร์คุกกี้และขอความยินยอมก่อนติดตาม
• ช่องทางให้ผู้ใช้ขอเข้าถึง/แก้ไข/ลบข้อมูล
• เก็บข้อมูลเท่าที่จำเป็น (data minimisation)
• เข้ารหัสการรับส่งข้อมูลด้วย HTTPS ทุกหน้า

เมื่อเกิดเหตุข้อมูลรั่วไหล

PDPA กำหนดให้แจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้า โดยทั่วไปภายใน 72 ชั่วโมงเมื่อทราบเหตุ การมีระบบสำรองข้อมูลและ log ที่ดีช่วยให้รับมือและตรวจสอบย้อนหลังได้

PDPA requires notifying the Personal Data Protection Committee’s office of a personal data breach without delay — generally within 72 hours of becoming aware. Good backups and logging make it possible to respond and investigate after the fact.

• แจ้งเหตุละเมิดโดยไม่ชักช้า (แนวปฏิบัติ ~72 ชั่วโมง)
• หากเสี่ยงสูงต่อสิทธิ์ ต้องแจ้งเจ้าของข้อมูลด้วย
• สำรองข้อมูลช่วยกู้คืนหลังถูกโจมตี
• Log การเข้าถึงช่วยสืบหาสาเหตุ
• ควรมีแผนรับมือเหตุ (incident response) เตรียมไว้

Checklist เตรียมเว็บให้พร้อม PDPA

สรุปเป็นรายการให้ทำตามได้ทันที การทำตาม PDPA ไม่ใช่เรื่องครั้งเดียวจบ แต่เป็นกระบวนการต่อเนื่อง เริ่มจากพื้นฐานเหล่านี้แล้วทบทวนเป็นระยะ

Here is an actionable summary. PDPA compliance is not a one-off task but an ongoing process — start with these basics and review them periodically.

• เลือกโฮสต์ที่มี SSL ฟรี สำรองข้อมูล และพร้อมทำ DPA
• เปิด HTTPS ทุกหน้าและบังคับ redirect
• ทำนโยบายความเป็นส่วนตัวและแบนเนอร์คุกกี้
• เก็บข้อมูลเท่าที่จำเป็นและกำหนดอายุการเก็บ
• มีช่องทางใช้สิทธิ์ของเจ้าของข้อมูลและแผนรับมือเหตุ