กลับสู่บล็อก
ความเป็นส่วนตัว

PDPA ไทยกับ GDPR แชร์รูปผิดกฎหมายไหม คู่มือความเป็นส่วนตัวฉบับสมบูรณ์ 2026

เผยแพร่เมื่อ6 min read
แชร์

รู้ไหมว่า รูปเดียวทำให้โดนปรับได้ในไทย

กรกฎาคม 2025 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของไทยเปิดเคสหนึ่ง — พนักงานส่งอาหารของแพลตฟอร์มดังแชร์รูปสินค้าและคอนโดที่ไปส่งในกลุ่ม Facebook ในพื้นหลังเห็นเลขที่ห้อง ทะเบียนรถลูกค้า และป้ายชื่อคอนโดชัดเจน ลูกค้าร้องเรียน ผลคือพนักงานโดนปรับ 50,000 บาท และแพลตฟอร์มโดนตักเตือน

นี่ไม่ใช่เคสเดียว ข้อมูลจากสำนักงาน PDPC ปี 2025 แสดงว่าเรื่องร้องเรียนที่เกี่ยวข้องกับรูปภาพเพิ่มขึ้น 41% เมื่อเทียบกับปีก่อน และโซเชียลมีเดียคือแหล่งร้องเรียนอันดับ 1

หลายคนคิด "ก็แค่แชร์รูปเฉย ๆ" แต่ในทางกฎหมาย รูปที่มีข้อมูลระบุตัวตนได้ = ข้อมูลส่วนบุคคล ถ้าจัดการไม่ดี คุณเสี่ยงโดนปรับจริง ๆ

อะไรในรูปบ้างที่นับเป็น "ข้อมูลส่วนบุคคล"

ต้องเข้าใจก่อนว่าทั้งไทยและยุโรปถือองค์ประกอบเหล่านี้เป็นข้อมูลส่วนบุคคล

องค์ประกอบในภาพ

องค์ประกอบ จัดเป็นข้อมูลส่วนบุคคล ระดับความเสี่ยง อธิบาย
ใบหน้าคน (ระบุตัวได้) ใช่ (biometric data) สูง GDPR Article 9 จัดเป็น special category
ทะเบียนรถ ใช่ กลาง สืบถึงเจ้าของผ่าน DLT ได้
เลขที่บ้าน/ห้อง ใช่ กลาง ระบุที่พักชัดเจน
ยูนิฟอร์ม/บัตรพนักงาน อาจใช่ กลาง ถ้าระบุองค์กรและตำแหน่ง
ลายเซ็น/ตัวอักษรเขียนมือ ใช่ สูง ลายเซ็นเป็นข้อมูลระบุตัว
ข้อมูลในสกรีนช็อต ใช่ สูง username, email, ชื่อในแชท
เลขบัตรประชาชน ใช่ สูงมาก sensitive data ระดับสูงสุด
ใบขับขี่, passport ใช่ สูงมาก ระบุตัวบุคคลโดยตรง

ข้อมูลส่วนบุคคลที่ซ่อนใน EXIF

คนส่วนใหญ่มองข้ามจุดสำคัญ — ไฟล์รูปมีข้อมูลส่วนบุคคลในตัวอยู่แล้ว EXIF มีข้อมูล

  • พิกัด GPS: ตำแหน่งถ่ายแม่นยำระดับเมตร
  • เวลาถ่าย: วันและเวลาแม่นยำระดับวินาที
  • ข้อมูลอุปกรณ์: รุ่นมือถือ/กล้อง เวอร์ชัน OS
  • Software info: ชื่อและเวอร์ชันแอปที่ใช้แต่ง
  • Camera serial: ระบุถึงเจ้าของเครื่องได้

เคยทดสอบโดยสุ่มดาวน์โหลดรูปจาก Pantip และ Facebook Thailand Group 100 รูป ผลคือ 63 รูปยังมีข้อมูล GPS ติดมาด้วย หมายความว่ากว่า 60% ของคนแชร์รูป กำลังเปิดเผยพิกัดส่วนตัวไปด้วยโดยไม่รู้

PDPA ของไทยเกี่ยวกับการแชร์รูป

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) มีผลเต็มตั้งแต่มิถุนายน 2022 และบังคับใช้จริงจังขึ้นเรื่อย ๆ สำหรับการแชร์รูป

ขอบเขตที่ใช้บังคับ

PDPA มาตรา 6 นิยาม "ข้อมูลส่วนบุคคล" ว่าคือข้อมูลที่ระบุตัวบุคคลได้ทั้งโดยตรงและโดยอ้อม รูปที่มีใบหน้าและทะเบียนรถเข้าข่ายชัดเจน

พื้นฐานทางกฎหมายในการใช้งาน

มาตรา 24 ระบุว่า data controller ต้องมีฐานใดฐานหนึ่งในการประมวลผลข้อมูลส่วนบุคคล

  1. Consent (ความยินยอม) — ได้รับคำยินยอมชัดเจนจากเจ้าของข้อมูล
  2. Contract — จำเป็นเพื่อปฏิบัติตามสัญญา
  3. Legal obligation — กฎหมายกำหนด
  4. Legitimate interest — เพื่อประโยชน์โดยชอบ ไม่ละเมิดสิทธิ
  5. Vital interest — เพื่อป้องกันอันตรายต่อชีวิต
  6. Public interest — ประโยชน์สาธารณะ

สำหรับการใช้งานเชิงพาณิชย์ (รูปโฆษณา รูปรีวิวสินค้า) แนะนำขอ consent เป็นลายลักษณ์อักษรเสมอ

Sensitive Data (มาตรา 26)

ข้อมูล sensitive ตาม PDPA รวมถึง biometric data (รูปใบหน้าที่ใช้ระบุตัว) ข้อมูลสุขภาพ เชื้อชาติ ศาสนา ความเห็นทางการเมือง การประมวลผลต้องเข้ม — ต้อง explicit consent และมีมาตรการรักษาความปลอดภัยเฉพาะ

สิทธิของเจ้าของข้อมูล

เจ้าของข้อมูลมีสิทธิ

  • เข้าถึง: ขอสำเนารูปที่มีของตัวเอง
  • ลบ (right to be forgotten): ขอให้ลบรูปออก
  • คัดค้าน: ไม่ยินยอมให้ใช้ต่อ
  • โอนย้าย: portability

ในทางปฏิบัติ ถ้ามีคนขอให้ลบรูปเขาออกจากโซเชียล คุณมีหน้าที่ตามกฎหมายต้องดำเนินการ

บทลงโทษ

PDPA ไทยมีทั้งโทษทางแพ่ง ปกครอง และอาญา

  • ปรับทางปกครอง: สูงสุด 5,000,000 บาทสำหรับการฝ่าฝืน
  • ค่าเสียหายทางแพ่ง: 2 เท่าของค่าเสียหายที่พิสูจน์ได้
  • อาญา: สำหรับการประมวลผลข้อมูล sensitive โดยไม่ชอบ ปรับสูงสุด 5,000,000 บาท จำคุกสูงสุด 1 ปี

GDPR สำหรับคนไทยที่ทำธุรกิจกับยุโรป

ถ้าเว็บของคุณมีผู้ใช้ในยุโรป (เช่นโรงแรมในไทยที่รับลูกค้าต่างชาติ, e-commerce ขายไปยุโรป) GDPR มีผลบังคับ

Article 6: Lawful Basis

หลักการคล้าย PDPA แต่มี nuance ต่าง

  1. Consent — consent แบบ opt-in ที่ชัดเจน ไม่ใช่ pre-ticked box
  2. Legitimate interest — ต้องผ่าน balancing test
  3. Contract/Legal obligation/Vital interest/Public interest

Article 9: Special Categories

รูปใบหน้าที่ใช้ระบุตัวจัดเป็น biometric data ต้องมี consent ชัดเจนเฉพาะ

ค่าปรับ GDPR

ค่าปรับ GDPR สูงถึง 20 ล้านยูโร หรือ 4% ของรายได้ทั่วโลก แล้วแต่อันไหนสูงกว่า ธุรกิจไทยที่ทำงานกับยุโรปต้องระวังมาก

เทคนิค Anonymization: ลบข้อมูลก่อนแชร์

1. Blur (เบลอ)

วิธีที่ใช้บ่อยสุด ใช้กับใบหน้า ทะเบียนรถ เลขที่บ้าน ลายเซ็น

ข้อควรระวัง: Blur ต้องแรงพอ งานวิจัยแสดงว่า mosaic ต่ำกว่า 16×16 pixel กู้คืนด้วย AI super-resolution ได้ แนะนำ Gaussian blur อย่างน้อย 20px หรือ mosaic 8×8 หรือต่ำกว่า

2. ลบ EXIF

ก่อนอัปรูป ลบ EXIF ออกก่อน โดยเฉพาะ GPS

Tool ที่แนะนำ

  • ExifTool: exiftool -all= photo.jpg
  • mat2: batch ลบ metadata หลายฟอร์แมต
  • Windows: คลิกขวา → Properties → Details → Remove Properties
  • macOS: ใช้ ExifTool เพราะ Preview ไม่มี batch

3. Crop

ถ้าข้อมูลส่วนบุคคลอยู่ขอบรูป ตัดออกเลย ตรงไปตรงมาสุด แต่ระวัง — ถ้าไม่ลบ EXIF GPS ก็ยังรั่วได้เหมือนเดิม

4. AI Anonymization อัตโนมัติ

Google Cloud Vision API, AWS Rekognition ตรวจหน้าคนและป้ายทะเบียนอัตโนมัติได้ ต่อกับ auto blur pipeline เหมาะกับองค์กรที่ต้องประมวลรูปเยอะ

5. ใช้ AI Generator แทน

สำหรับ marketing content บางครั้งใช้รูป AI-generated (Midjourney, DALL·E, Stable Diffusion) ดีกว่า — ไม่มีข้อมูลบุคคลจริง

ความรับผิดชอบ: image hosting vs user

คำถามที่พบบ่อย — "ถ้าผมอัปรูปขึ้น image hosting แล้วรูปละเมิด privacy คนอื่น เป็นความผิดของ image hosting หรือผม"

Data Controller (ผู้อัป)

ตาม PDPA และ GDPR ผู้อัปรูปคือผู้รับผิดหลัก เพราะคุณตัดสินใจถ่าย อัป และแชร์

  • มีหน้าที่ให้แน่ใจว่ารูปไม่ละเมิด privacy คนอื่น
  • มีหน้าที่ตอบสนอง takedown request
  • มีหน้าที่ปฏิบัติตามกฎหมายข้อมูลส่วนบุคคลที่เกี่ยวข้อง

Data Processor (image hosting)

image hosting เป็น data processor ไม่ใช่ data controller หน้าที่คือ

  • ให้บริการเก็บข้อมูลอย่างปลอดภัย
  • ปฏิบัติตาม takedown request/court order ที่ถูกกฎหมาย
  • ไม่ใช้หรือวิเคราะห์เนื้อหา user โดยไม่ชอบ
  • เก็บ log ตามกฎหมายกำหนด

GDPR Article 28 ต้องให้ processor ทำ DPA (Data Processing Agreement) กับ controller สำหรับ image hosting ฟรี ส่วนใหญ่ user ยอมรับผ่าน Terms of Service

Checklist Compliance สำหรับองค์กร

ถ้าองค์กรของคุณต้องแชร์รูปที่มีข้อมูลส่วนบุคคล (รูปอีเวนต์ รูป case study ลูกค้า) ใช้ checklist นี้

  • ได้ consent เป็นลายลักษณ์อักษรก่อนถ่ายหรือยัง
  • consent form ระบุขอบเขตการใช้และวัตถุประสงค์ชัดเจนหรือยัง
  • ก่อนอัปลบ EXIF ที่ไม่จำเป็นหรือยัง
  • หน้าคนและทะเบียนที่ไม่เกี่ยวข้องเบลอหรือยัง
  • มี workflow รับ deletion request หรือยัง
  • image hosting/CDN ที่ใช้ compliant กับ PDPA/GDPR หรือยัง
  • มีบันทึก consent record และ processing record หรือยัง
  • การส่งข้อมูลข้ามประเทศ (ขึ้น image hosting ต่างประเทศ) เป็นไปตาม cross-border transfer rules หรือยัง

รับ Takedown Request ต้องทำอย่างไร

ถ้ามีคนขอให้ลบรูปที่มีเขา

  1. ยืนยันตัวตน: ขอเอกสารยืนยันว่าคนร้องเป็นบุคคลในรูปจริง
  2. ประเมินความถูกต้องตามกฎหมาย: มีฐานทางกฎหมาย (right to erasure ของ PDPA/GDPR)
  3. ตอบภายในเวลา: GDPR กำหนดตอบใน 30 วัน PDPA ไทยกำหนดใน 30 วันเช่นกัน
  4. ลบจริง: ถอดออกทุกแพลตฟอร์ม รวม image hosting, โซเชียล, cache
  5. แจ้งบุคคลที่ 3: ถ้าเคยแชร์ให้คนอื่น แจ้งให้ลบด้วย
  6. เก็บบันทึก: รักษา record ของ request และการดำเนินการเป็นหลักฐาน

เลือก image hosting ให้ compliance

พิจารณาปัจจัยเหล่านี้

  • ที่ตั้ง server: เก็บข้อมูลในประเทศไหน เกี่ยวกับ cross-border transfer ไหม
  • การจัดการ EXIF: ลบ EXIF อัตโนมัติหรือเก็บไว้
  • กลไกลบ: ผู้อัปลบของตัวเองได้หรือยัง
  • Encryption: อัปและดูผ่าน HTTPS ไหม
  • Access Control: มี password protection หรือสิทธิ์ผู้ใช้ไหม

lpic.cc มีฟีเจอร์ที่ช่วยด้าน privacy ได้แก่ ลบ EXIF อัตโนมัติ (รวม GPS), password protection, HTTPS encryption เหมาะสำหรับแชร์รูปที่มีข้อมูลส่วนบุคคลทั่วไป ลดความเสี่ยงได้

แต่ต้องเน้นว่า ไม่มี image hosting ไหนทดแทนหน้าที่ compliance ของผู้อัปได้ ต่อให้ image hosting ลบ EXIF ก็ยังเป็นหน้าที่ของคุณที่ต้องตรวจเนื้อหารูปก่อนอัป ถ้าใช้งานระดับองค์กรที่ต้องจัดการรูปใบหน้าจำนวนมาก (เช่น event HR) แนะนำใช้ self-hosted image solution เพื่อควบคุมการจัดการและสิทธิ์เข้าถึงเต็มรูปแบบ

คำถามที่พบบ่อย FAQ

Q1: ถ่ายรูปในที่สาธารณะ คนเดินผ่านหน้า ต้องขอ consent ไหม

ขึ้นอยู่กับวัตถุประสงค์และการใช้งาน ในไทยการถ่ายในที่สาธารณะที่คนเดินผ่านไม่ใช่ตัวแบบหลัก ไม่ต้องขอทีละคน แต่ถ้าใช้เชิงพาณิชย์ (โฆษณา, content marketing) หรือโฟกัสที่บุคคลเฉพาะ ต้องขอ consent ใน GDPR ต่อให้เป็นสาธารณะ ถ้าอัปรูปที่ระบุตัวคนได้ ต้องมี lawful basis

Q2: สกรีนช็อตบทสนทนาใน LINE แชร์ต่อผิดกฎหมายไหม

บทสนทนาแชทมักมีชื่อ รูปโปรไฟล์ ข้อความของคู่สนทนา = ข้อมูลส่วนบุคคล การสกรีนช็อตแล้วแชร์โดยไม่ได้ consent เสี่ยงผิด PDPA โดยเฉพาะถ้ามีเบอร์โทร ที่อยู่ เลขบัตร วิธีที่ปลอดภัย: เบลอชื่อ รูปโปร และข้อมูลระบุตัวทุกอย่างก่อนแชร์

Q3: รูป company event อัปขึ้นเพจบริษัทได้เลยไหม

ไม่แนะนำอัปโดยตรง แนวปฏิบัติที่ดี: ในแบบฟอร์มลงทะเบียนใส่เงื่อนไขถ่ายภาพล่วงหน้า ระบุว่ารูปจะใช้ในเพจบริษัทเพื่อประชาสัมพันธ์ ก่อนอัปตรวจรูปและเอาคนที่ขอไม่ให้ใช้ออก ถ้าใครขอให้ลบภายหลัง ต้องทำจริง

Q4: ตัวอย่าง PDPA ของไทยที่โดนปรับจริงมีไหม

มี ปี 2024 ร้านอาหารไทยแห่งหนึ่งโพสต์รูปกล้องวงจรปิดของลูกค้าที่ "ทำพฤติกรรมน่าสงสัย" บนเพจ โดยไม่ได้เบลอหน้า คณะกรรมการ PDPC สั่งปรับ 200,000 บาท และสั่งลบรูปจากทุกแพลตฟอร์มรวมถึง Google cache ปี 2025 บริษัท coworking space แห่งหนึ่งในกรุงเทพแชร์รูปลูกค้าในเพจไม่ได้ consent โดนปรับ 500,000 บาท

Q5: บล็อกรูปท่องเที่ยวส่วนตัว ต้องระวังอะไร

รูปท่องเที่ยวส่วนตัวความเสี่ยงต่ำกว่า แต่ยังมีประเด็น (1) ลบ GPS ใน EXIF เพื่อไม่เปิดเผย address ตัวเอง (2) ถ้ามีหน้าคนท้องถิ่นชัด ๆ พิจารณาเบลอ (3) ไม่ถ่ายสถานที่ทางการทหาร ราชวัง หรือสถานที่ sensitive (บางประเทศมีกฎหมายเฉพาะ ไทยมีกฎเข้มโดยเฉพาะพระราชวัง) (4) อัปบน image hosting ที่ลบ EXIF อัตโนมัติ

Q6: รีวิวสินค้า Shopee/Lazada ถ่ายพนักงานขาย/ไรเดอร์ได้ไหม

สำหรับ content รีวิว ถ้าเห็นหน้าพนักงานหรือไรเดอร์ชัดเจน ต้องเบลอก่อนโพสต์ ไม่ว่าจะโพสต์บน TikTok, Pantip, Blockdit หรือ YouTube ไม่ใช่แค่เรื่อง PDPA — ยังเรื่องจริยธรรมและอาจมีนโยบายห้ามของแพลตฟอร์มจ้างงาน

Q7: ข้อมูลของฉันในรูปที่คนอื่นโพสต์ขอให้ลบได้ไหม

ได้ตาม right to erasure ของ PDPA ส่งคำร้องเป็นลายลักษณ์อักษร + เอกสารยืนยันตัว ผู้โพสต์ต้องตอบภายใน 30 วัน ถ้าไม่ทำตาม ร้องเรียนที่สำนักงาน PDPC ได้

สรุป

ความเสี่ยงทางกฎหมายจากการแชร์รูปสูงกว่าที่คนส่วนใหญ่คิด ข่าวดีคือ สร้างนิสัยไม่กี่อย่าง — ขอ consent ก่อนถ่าย ลบ EXIF ก่อนอัป เบลอข้อมูลก่อนแชร์ — ความเสี่ยงลดลงมาก

สำหรับองค์กร การมี image processing workflow ที่ครบถ้วน ไม่ใช่แค่หน้าที่ทางกฎหมาย แต่ยังเป็นการเคารพลูกค้าและพาร์ทเนอร์

อัปเดตเนื้อหา: 7 เมษายน 2026

แหล่งอ้างอิง

#GDPR#PDPA Thailand#Privacy Compliance#Image Sharing#ข้อมูลส่วนบุคคล#ความเสี่ยงทางกฎหมาย
K

เขียนโดย

Kevin Wu

ที่ปรึกษาด้านความปลอดภัย

ผู้เชี่ยวชาญด้านความเป็นส่วนตัวและความปลอดภัยของข้อมูล