หน้าหลัก › ข้อกำหนด › PDPA กับการทดสอบเจาะระบบ
PDPA กับการทดสอบเจาะระบบ
- หน่วยงาน
- สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)
- ใช้กับ
- ผู้ควบคุมและผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ในขอบเขตกฎหมาย โดยพิจารณาข้อยกเว้น
- ความถี่
- วางรอบทดสอบตามความเสี่ยงและข้อกำหนดที่ใช้; PDPA ไม่กำหนด annual Pentest โดยตรง
มาตรา 37 กำหนดอะไร
พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37(1) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มี “มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม” กฎหมายไม่ได้ระบุคำว่า pentest โดยตรง แต่ Pentest เป็นหลักฐานประกอบด้านเทคนิคตาม scope และเวลาที่ทดสอบ ไม่ใช่หลักฐานรับรองว่าปฏิบัติตาม PDPA ครบถ้วน
บทลงโทษ
- ค่าปรับขึ้นกับฐานความผิด: ม.83 ครอบคลุมการฝ่าฝืน ม.37 ของผู้ควบคุมข้อมูล ไม่เกิน 3 ล้านบาท; ม.84 เกี่ยวกับข้อมูลตาม ม.26 และเงื่อนไขที่ระบุ ไม่เกิน 5 ล้านบาท ไม่ใช่ค่าปรับอัตโนมัติทุกกรณี
- โทษอาญาสำหรับข้อมูลอ่อนไหวที่นำไปแสวงหาประโยชน์โดยมิชอบ
- ค่าเสียหายทางแพ่ง ซึ่งศาลอาจสั่งค่าสินไหมเพื่อการลงโทษเพิ่มได้ไม่เกิน 2 เท่าของค่าสินไหมที่แท้จริงตามเงื่อนไข ม.78
ข้อมูลอ่อนไหว
ข้อมูลสุขภาพ ชีวมิติ และข้อมูลอ่อนไหวอื่นตามมาตรา 26 มีเงื่อนไขเฉพาะและอาจมีฐานความผิดต่างจากข้อมูลทั่วไป องค์กรที่ถือข้อมูลเหล่านี้ (เช่น โรงพยาบาล ประกันชีวิต) ควรทดสอบระบบที่เกี่ยวข้องเป็นประจำ
ดูภาพรวมข้อกำหนดที่คัดเลือก ได้ที่ Compliance Matrix
อ้างอิง PDPA ฉบับราชกิจจานุเบกษา มาตรา 4–5, 26, 37, 77–85 ข้อแนะนำการทดสอบเป็นแนวทางวางแผน ไม่ใช่คำปรึกษากฎหมายหรือการรับรองผลการพิจารณาของ สคส.
ดูข้อกำหนดอื่น: มาตรฐานความมั่นคงปลอดภัยสำหรับเว็บไซต์ สกมช. 2568i-Pentest และ IT Risk ของ ธปท.ISO 27001 และ PCI DSSก.ล.ต. กับการทดสอบเจาะระบบคปภ. กับการทดสอบเจาะระบบพ.ร.บ. ไซเบอร์ กับการทดสอบเจาะระบบ (CII)มาตรา 54 พ.ร.บ. ไซเบอร์ฯ — CII ต้องประเมินความเสี่ยงและตรวจสอบทุกปีชุดประกาศ 18 มกราคม 2567 — มาตรฐานการกำหนดคุณลักษณะและขั้นต่ำมาตรฐาน Cloud Security สกมช. 2567ประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านไซเบอร์ 2564ประกาศผู้ให้บริการด้านความมั่นคงปลอดภัยไซเบอร์ 2566แนวปฏิบัติการใช้ปัญญาประดิษฐ์อย่างมั่นคงปลอดภัย สกมช. 2568
ไม่แน่ใจว่าองค์กรต้องทำอะไรบ้าง?
ใช้เครื่องมือวางแผนเบื้องต้น หรือหารือขอบเขตงานและข้อกำหนดที่ใช้กับองค์กรก่อนขอใบเสนอราคา