สรุปแนวปฏิบัติเพื่อการดำเนินการให้สอดคล้องตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลฯ สำหรับ สพท.
| ลำดับ | แนวปฏิบัติสำคัญ | สาระสำคัญที่ต้องดำเนินการ (หน้าที่ของ สพท.) | มาตราที่เกี่ยวข้อง |
| 1 | ปฏิบัติตามนโยบาย | มีหน้าที่ปฏิบัติตามนโยบายคุ้มครองข้อมูลส่วนบุคคล กฎ และระเบียบภายในที่สำนักงานคณะกรรมการการศึกษาขั้นพื้นฐาน (สพฐ.) กำหนดและประกาศใช้ | - |
| 2 | ให้ความร่วมมือ DPO | ให้ความร่วมมือและสามารถปรึกษาหารือกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ของ สพฐ. เพื่อรับคำแนะนำและรับการตรวจสอบการดำเนินงาน | - |
| 3 | จัดทำบันทึกกิจกรรม (ROPA) | จัดทำ บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) เพื่อแสดงภาพรวมการเก็บ รวบรวม ใช้ เปิดเผย และลบ/ทำลายข้อมูลส่วนบุคคล รวมถึงต้องทบทวนให้เป็นปัจจุบันอย่างน้อยปีละ 1 ครั้ง | มาตรา 39 |
| 4 | แจ้งเจ้าของข้อมูล (Privacy Notice) | แจ้งรายละเอียดการประมวลผลข้อมูลส่วนบุคคลให้เจ้าของข้อมูลทราบผ่านเอกสาร ประกาศความเป็นส่วนตัว (Privacy Notice) เพื่อแสดงความโปร่งใส | มาตรา 23 และ 25 |
| 5 | ขอความยินยอม | ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนหรือขณะประมวลผล ในกรณีที่การประมวลผลนั้นไม่สามารถอ้างอิงฐานกฎหมายอื่นได้ (เช่น การประมวลผลข้อมูลอ่อนไหว) | มาตรา 19 |
| 6 | การโอนข้อมูลไปต่างประเทศ | กรณีจำเป็นต้องส่งหรือเปิดเผยข้อมูลไปยังต่างประเทศ ต้องประเมินมาตรฐานการคุ้มครองข้อมูลของประเทศปลายทาง และจัดทำเอกสารทางกฎหมายที่เกี่ยวข้อง | มาตรา 28 และ 29 |
| 7 | จัดทำสัญญา (DPA) | จัดทำ สัญญาการประมวลผลข้อมูลส่วนบุคคล กับบุคคลภายนอกที่เป็นผู้ประมวลผลข้อมูล เพื่อควบคุมให้การประมวลผลเป็นไปตามวัตถุประสงค์ที่ สพท. กำหนด | มาตรา 40 |
| 8 | รองรับการใช้สิทธิ | จัดให้มีช่องทางเพื่อรองรับการร้องขอใช้สิทธิต่าง ๆ ของเจ้าของข้อมูลส่วนบุคคล (เช่น สิทธิในการเข้าถึง แก้ไข ลบ หรือถอนความยินยอม) และดำเนินการตามคำขอภายในระยะเวลาที่กฎหมายกำหนด | มาตรา 30 ถึง 36 |
| 9 | แจ้งเหตุละเมิดข้อมูล | กรณีพบเหตุละเมิดข้อมูลส่วนบุคคล ให้แจ้งไปยัง DPO ของ สพฐ. โดยทันที เพื่อให้ สพฐ. พิจารณาและแจ้งต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมง หากมีความเสี่ยงสูงที่จะกระทบต่อสิทธิเสรีภาพ ต้องแจ้งเจ้าของข้อมูลส่วนบุคคลด้วย | มาตรา 37 |
บทลงโทษภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคล (โดยสรุป)
การไม่ปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลฯ อาจนำไปสู่บทลงโทษ 3 ประเภท ได้แก่:
1. ความรับผิดทางแพ่ง: ต้องชดใช้ค่าสินไหมทดแทนจริง และอาจรวมถึงค่าสินไหมทดแทนเพื่อการลงโทษ.
2. โทษทางอาญา: มีโทษจำคุกและ/หรือปรับ โดยมีระวางโทษสูงสุดถึงจำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 1,000,000 บาท หรือทั้งจำทั้งปรับ ในกรณีที่มีการใช้หรือเปิดเผยข้อมูลส่วนบุคคลอ่อนไหวโดยมิชอบเพื่อแสวงหาประโยชน์.
3. โทษทางปกครอง: มีโทษปรับทางปกครองตั้งแต่หลักแสนถึงหลักล้านบาท ขึ้นอยู่กับความร้ายแรงของการกระทำผิด เช่น การขอความยินยอมโดยการหลอกลวง อาจถูกปรับไม่เกิน 3 ล้านบาท , และการไม่จัดทำ ROPA อาจถูกปรับไม่เกิน 1 ล้านบาท.
