พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือบ้างย่อเป็น PDPA  เป็นกฎหมายไทยระดับพระราชบัญญัติ มีเนื้อหาสาระเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลและภาวะเฉพาะส่วนตัวในประเทศไทย มีการเสนอร่างกฎหมายดังกล่าวในเดือนพฤษภาคม 2558 โดยได้รับอิทธิพลมาจากระเบียบการคุ้มครองข้อมูลทั่วไป (GDPR) ซึ่งเป็นกฎหมายคุ้มครองข้อมูลของสหภาพยุโรป#เปลี่ยนทาง กฎหมายระบุเหตุผลและความจำเป็นว่า "เพื่อให้การคุ้มครองข้อมูลส่วนบุคคลมีประสิทธิภาพและเพื่อให้มีมาตรการเยียวยาเจ้าของข้อมูลส่วนบุคคลจากการถูกละเมิดสิทธิในข้อมูลส่วนบุคคล" พระราชบัญญัติมีผลใช้บังคับบางส่วนเมื่อวันที่ 28 พฤษภาคม 2562 โดยมีการเว้นระยะหนึ่งปีก่อนมีกำหนดที่กฎหมายจะมีผลใช้บังคับทั้งฉบับเมื่อวันที่ 28 พฤษภาคม 2563
บริบท.
ในประเทศไทยเมื่อปี 2561 เกิดเหตุการรั่วไหลของข้อมูลบนคลาวด์แอมะซอนเอส3 ของทรูมูฟ เอช#เปลี่ยนทาง ในประเทศไทยมีกฎหมายภาวะเฉพาะส่วนตัวอยู่แล้ว แต่ไม่มีประสิทธิภาพและครอบคลุมเฉพาะภาครัฐเท่านั้น#เปลี่ยนทาง 
ข้อมูลในช่วง 9 เดือนแรกของปี 2563 พบว่ามีการเรียกค่าไถ่ข้อมูลกว่า 192,000 ครั้ง มากที่สุดเป็นอันดับ 3 ในอาเซียน ในเดือนพฤษภาคม 2564 มีการเลื่อนการบังคับใช้ พรบ. นี้ไปเป็นวันที่ 31 พฤษภาคม 2565
บทนำ (มาตรา 1–7)
หมวด 1: คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (มาตรา 8–18)
หมวด 2: การคุ้มครองข้อมูลส่วนบุคคล (มาตรา 19–29)
หมวด 3: สิทธิของเจ้าของข้อมูลส่วนบุคคล (มาตรา 30–42)
หมวด 4: สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (มาตรา 43–70)
หมวด 5: การร้องเรียน (มาตรา 71–76)
หมวด 6: ความรับผิดทางแพ่ง (มาตรา 77–78)
หมวด 7: บทกำหนดโทษ (มาตรา 79–90)
บทเฉพาะกาล (มาตรา 91–96)
สาระสำคัญ.
ขอบเขต.
"ข้อมูลส่วนบุคคล" หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม เช่น ชื่อ-สกุล, ที่อยู่, เลขประจำตัวประชาชน, ข้อมูลสุขภาพ, หมายเลขโทรศัพท์, อีเมล, ประวัติอาชญากรรม เป็นต้น แต่ข้อมูลส่วนบุคคลบางประเภทมีหลักการที่เข้มงวดกว่าข้อมูลส่วนบุคคลทั่วไป ได้แก่ "ข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน" เช่น เชื้อชาติ, ประวัติอาชญากรรม, ข้อมูลพันธุกรรม, พฤติกรรมทางเพศ เป็นต้น
"ผู้ควบคุมข้อมูลส่วนบุคคล" หมายถึง บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ส่วน "ผู้ประมวลผลข้อมูลส่วนบุคคล" หมายถึง บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล
พระราชบัญญัติฯ จัดตั้งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลขึ้นเพื่อเป็นองค์การหลักในการนำกฎหมายไปปฏิบัติ
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายที่ครอบคลุมทั้งภาครัฐและภาคเอกชน อย่างไรก็ดี ตามมาตรา 4 กฎหมายนี้ไม่ใช้บังคับแก่
ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับยกเว้นตามพระราชบัญญัติฯ มาตรา 4 ยังต้องมีให้ความคุ้มครองข้อมูลส่วนบุคคลตามมาตรฐาน อย่างไรก็ดี ไม่มีข้อยกเว้นใดถูกจำกัดด้านความจำเป็น การทดสอบความได้สัดส่วนและแนวปฏิบัติที่ดี#เปลี่ยนทาง 
กรีนลีฟและอาทิตย์ (2562) เขียนว่า พระราชบัญญัตินี้ส่งเสริมและเข้าแทนที่การคุ้มครองภาวะเฉพาะบุคคลจากพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 โดยทั่วไปพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงใช้กับภาครัฐโดยทั่วไป#เปลี่ยนทาง ด้านไอลอว์มองว่ากฎหมายมีเจตนารมณ์มุ่งเน้นต่อผู้ประกอบการเอกชนเป็นหลัก เพราะกิจการของหน่วยงานความมั่นคง แลกิจการของรัฐแทบทั้งหมดได้รับการยกเว้นจากการปฏิบัติตามกฎหมายนี้
กฎหมายนี้ยังมีผลนอกอาณาเขตด้วย มาตรา 5 ครอบคลุมการทำการตลาดแก่หรือการเฝ้าติดตามบุคคลในประเทศไทย นอกจากนี้ ยังครอบคลุมการประมวลผลข้อมูลส่วนบุคคลนอกประเทศไทยของผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลในประเทศไทยด้วย#เปลี่ยนทาง 
การเก็บข้อมูลส่วนบุคคล.
การเก็บข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้มีหลักการทั่วไปว่า "ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้ หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น" (มาตรา 19) สำหรับข้อมูลส่วนบุคคลที่มีความอ่อนไหวเป็นพิเศษ เช่น ข้อมูลเรื่องเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ ฯลฯ ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล (มาตรา 26)
หลักการที่พระราชบัญญัติฯ ได้รับอิทธิพลมาจาก GDPR มีดังนี้ การเก็บข้อมูลให้น้อยที่สุด (มาตรา 22), ข้อกำหนดความยินยอมอย่างเข้มในการเก็บข้อมูล (มาตรา 23–25), สิทธิความสะดวกพกพาข้อมูล (มาตรา 31), สิทธิคัดค้านการประมวลผลข้อมูล (มาตรา 32), สิทธิขอให้ลบข้อมูล (มาตรา 33)#เปลี่ยนทาง 
การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวจะชอบด้วยกฎหมาย หากดำเนินการตามหลักการใดหลักการหนึ่ง ดังต่อไปนี้
กฎหมายกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคลที่ตนเก็บรวบรวม ส่วนผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ดำเนินการตามคำสั่งโดยชอบด้วยกฎหมายที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น อย่างไรก็ตาม ยกเว้นให้หน่วยงานรัฐที่คณะกรรมการกำหนด และธุรกิจขนาดย่อมบางจำพวกที่จัดการข้อมูลจำนวนมาก (ซึ่งคณะกรรมการจะกำหนดภายหลัง)#เปลี่ยนทาง 
บางแง่มุมของ GDPR ไม่ปรากฏในพระราชบัญญัตินี้ ได้แก่ หลักฉาวะเฉพาะส่วนตัวโดยการออกแบบ (privacy by design) และภาวะเฉพาะส่วนตัวโดยปริยาย (privacy by default) และการคุ้มครองการประมวลผลข้อมูลแบบอัตโนมัติ#เปลี่ยนทาง