PDPA สำหรับร้านอาหาร: ข้อมูลการจองและเบอร์ลูกค้า เก็บอย่างไรให้ถูกกฎหมาย

ร้านอาหารเกือบทุกร้านถือข้อมูลส่วนบุคคลของลูกค้าอยู่ในมือมากกว่าที่คิด ชื่อและเบอร์โทรในสมุดจองโต๊ะ ประวัติแชทใน LINE OA ประวัติการจองย้อนหลัง อาการแพ้อาหารที่ลูกค้าแจ้งไว้ ไปจนถึงภาพจากกล้องวงจรปิดหน้าร้าน ทั้งหมดนี้อยู่ภายใต้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA ซึ่งบังคับใช้เต็มรูปแบบตั้งแต่ 1 มิถุนายน 2022 และตั้งแต่ปี 2024 เป็นต้นมา สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส. หรือ PDPC) เริ่มสั่งปรับจริงเป็นหลักล้านบาทแล้ว

ข่าวดีคือ สำหรับงานหลักของร้าน การรับจองและให้บริการลูกค้า กฎหมายไม่ได้เรียกร้องอะไรเกินจริง และหลายอย่างทำได้โดยไม่ต้องขอความยินยอมเลย ข่าวที่ผู้ประกอบการมักเข้าใจผิดคือ "ร้านเล็กไม่เกี่ยว" ซึ่งไม่เป็นความจริง บทความนี้สรุป PDPA ผ่านมุมที่ร้านอาหารเจอจริงทุกวัน: ข้อมูลการจองและเบอร์ลูกค้า

ร้านอาหารถือข้อมูลส่วนบุคคลอะไรบ้าง

ข้อมูลส่วนบุคคลคือข้อมูลใดก็ตามที่ระบุตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม ลองไล่ดูตามจุดที่ข้อมูลเกิดขึ้นจริงในร้าน

• ข้อมูลการจอง: ชื่อ เบอร์โทร อีเมล จำนวนลูกค้า วันเวลา โอกาสพิเศษ ("ขอโต๊ะวันครบรอบ") ไม่ว่าจะจดในสมุด พิมพ์ในแชท หรืออยู่ในระบบจองออนไลน์ สถานะทางกฎหมายเท่ากันหมด
• ประวัติการจองย้อนหลัง: ลูกค้าคนนี้มากี่ครั้ง ชอบโต๊ะไหน เคยยกเลิกกี่ครั้ง ข้อมูลพวกนี้มีค่ามากสำหรับการบริการ และเป็นข้อมูลส่วนบุคคลเต็มรูปแบบ
• ข้อมูลแพ้อาหาร: ลูกค้าแจ้งว่าแพ้กุ้งหรือแพ้ถั่ว ข้อมูลนี้จัดเป็นข้อมูลสุขภาพ ซึ่งกฎหมายถือเป็นข้อมูลอ่อนไหวตามมาตรา 26 ต้องระวังเป็นพิเศษ: เก็บเท่าที่จำเป็นต่อการให้บริการ ไม่เอาไปใช้เรื่องอื่น และแนวทางที่ปลอดภัยที่สุดคือขอความยินยอมโดยชัดแจ้งเมื่อจะบันทึกไว้ถาวร
• ประวัติแชท LINE / Facebook: ทุกข้อความจองที่ค้างอยู่ในแชทคือข้อมูลส่วนบุคคลที่ร้านเป็นผู้ควบคุม พนักงานทุกคนที่ถือมือถือร้านเข้าถึงได้ทั้งหมด
• กล้องวงจรปิด: ภาพลูกค้าเป็นข้อมูลส่วนบุคคล ต้องมีป้ายแจ้งว่ามีการบันทึกภาพ ระบุวัตถุประสงค์ (ความปลอดภัย) และไม่เก็บนานเกินจำเป็น

ไม่ว่าร้านจะจดการจองในสมุด รับในแชท หรือใช้ระบบรับจองโต๊ะออนไลน์ที่ไม่มีค่าคอมมิชชัน ข้อมูลเหล่านี้เป็นข้อมูลส่วนบุคคลตามกฎหมายทั้งสิ้น ต่างกันตรงที่เครื่องมือแต่ละแบบช่วยให้ร้านดูแลข้อมูลได้ง่ายหรือยากแค่ไหน

รับจองต้องขอความยินยอมไหม: ฐานทางกฎหมายที่ผู้ประกอบการควรเข้าใจ

ความเข้าใจผิดที่พบบ่อยที่สุดคือ "PDPA = ต้องขอ consent ทุกอย่าง" ความจริงกฎหมายมีฐานการประมวลผลหลายฐาน และฐานที่ร้านอาหารใช้บ่อยที่สุดไม่ใช่ความยินยอม

การรับจองและให้บริการ: ใช้ฐานสัญญา ไม่ต้องขอความยินยอม การที่ลูกค้าจองโต๊ะคือการตกลงใช้บริการกับร้าน การเก็บชื่อ เบอร์โทร จำนวนที่นั่ง และวันเวลา เป็นสิ่งจำเป็นต่อการปฏิบัติตามข้อตกลงนั้น ตามมาตรา 24(3) ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ร้านจึงเก็บและใช้ข้อมูลนี้ได้เลย รวมถึงโทรหรือส่งอีเมลยืนยันการจอง แจ้งเปลี่ยนแปลงเวลา หรือติดต่อเมื่อลูกค้าไม่มาตามนัด สิ่งที่ยังต้องทำคือแจ้งให้ลูกค้าทราบว่าเก็บอะไร เพื่ออะไร (privacy notice สั้น ๆ บนหน้าเว็บจองหรือหน้าร้านก็เพียงพอ) และไม่เอาข้อมูลไปใช้นอกวัตถุประสงค์

การตลาด: ต้องขอความยินยอมแยกต่างหาก จะส่ง broadcast โปรโมชันทาง LINE ส่งอีเมลข่าวสาร หรือโทรชวนกลับมาใช้บริการ ต้องมีความยินยอมตามมาตรา 19 ซึ่งต้องแยกจากการจองอย่างชัดเจน ห้ามมัดรวมเป็นเงื่อนไข ("ต้องยอมรับข่าวสารจึงจะจองได้" แบบนี้ผิด) ต้องถอนได้ง่ายเท่ากับตอนให้ และเมื่อลูกค้าถอนแล้วต้องหยุดส่งจริง หลักง่าย ๆ คือ ช่องติ๊กรับข่าวสารต้องเป็นช่องที่ไม่ติ๊กมาให้ล่วงหน้า และการไม่ติ๊กต้องไม่กระทบการจอง

ใครที่คุ้นกับกฎหมายยุโรป PDPA ได้แรงบันดาลใจจาก GDPR แต่การอ้างอิงใด ๆ ควรใช้มาตราและหน่วยงานของไทยเท่านั้น

เส้นแบ่งสองฐานนี้สำคัญกับร้านที่อยากทำ CRM จากข้อมูลการจอง: ใช้ประวัติการจองเพื่อบริการลูกค้าคนเดิมให้ดีขึ้นเมื่อเขากลับมา ทำได้บนฐานสัญญาและประโยชน์อันชอบธรรม แต่จะเปลี่ยนรายชื่อนั้นเป็นแคมเปญส่งข้อความหาลูกค้า ต้องมี opt-in ก่อน อ่านแนวทางใช้ข้อมูลการจองสร้างลูกค้าประจำแบบถูกวิธีได้ในบทความเรื่องการสร้างลูกค้าประจำด้วยประวัติการจอง

ร้านเล็กได้รับยกเว้น PDPA หรือไม่

คำตอบสั้น: ไม่ได้รับยกเว้น มีเพียงภาระเดียวที่ผ่อนปรนให้

ประกาศ สคส. ที่ลงราชกิจจานุเบกษาเมื่อ 8 มกราคม 2025 ยกเว้นผู้ควบคุมข้อมูลขนาดเล็ก (ภาคบริการและค้าปลีก: รายได้ไม่เกิน 50 ล้านบาทต่อปี และพนักงานไม่เกิน 30 คน ซึ่งครอบคลุมร้านอาหารส่วนใหญ่) จากหน้าที่จัดทำบันทึกรายการประมวลผลข้อมูล (RoPA ตามมาตรา 39) เท่านั้น โดยยังต้องบันทึกกรณีที่ปฏิเสธคำขอใช้สิทธิของเจ้าของข้อมูล

หน้าที่อื่นทั้งหมดยังอยู่ครบ: ต้องมีฐานทางกฎหมาย ต้องแจ้งวัตถุประสงค์ ต้องมีมาตรการความปลอดภัย ต้องแจ้งเหตุละเมิด และต้องเคารพสิทธิของลูกค้า (ขอดู ขอแก้ ขอลบข้อมูลของตัวเอง) ร้านก๋วยเตี๋ยวหนึ่งคูหาที่จดเบอร์ลูกค้าไว้รับจอง ก็เป็นผู้ควบคุมข้อมูลส่วนบุคคลตามกฎหมายเช่นเดียวกับเชนใหญ่

มาตรการความปลอดภัย และกติกา 72 ชั่วโมงเมื่อข้อมูลรั่ว

กฎหมายกำหนดให้ผู้ควบคุมข้อมูลมีมาตรการรักษาความปลอดภัยที่เหมาะสม สำหรับร้านอาหารแปลเป็นภาษาปฏิบัติได้ประมาณนี้

• จำกัดการเข้าถึง: ไม่ใช่พนักงานทุกคนต้องเห็นเบอร์ลูกค้าทั้งหมด บัญชีระบบจองควรแยกสิทธิ์ ไม่ใช้รหัสผ่านเดียวร่วมกันทั้งร้าน
• ไม่ถ่ายรูปสมุดจองหรือหน้าจอรายชื่อลูกค้าลงโซเชียลหรือกลุ่มไลน์พนักงาน (เป็นการเปิดเผยข้อมูลโดยไม่มีฐาน)
• เก็บเท่าที่จำเป็นและมีกำหนดลบ: ประวัติการจองเก่าหลายปี ภาพกล้องวงจรปิด แชทจองเก่า ควรกำหนดระยะเวลาเก็บแล้วลบจริง
• เมื่อพนักงานลาออก ต้องตัดสิทธิ์เข้าถึงทันที จุดนี้คือจุดอ่อนใหญ่ของการรับจองผ่านมือถือส่วนตัวหรือบัญชีแชทที่ล็อกอินค้างไว้

และเมื่อเกิดเหตุข้อมูลรั่วไหลที่มีความเสี่ยงต่อสิทธิเสรีภาพของเจ้าของข้อมูล ผู้ควบคุมข้อมูลต้องแจ้ง สคส. ภายใน 72 ชั่วโมง นับแต่ทราบเหตุ ตามมาตรา 37(4) และหากความเสี่ยงสูง ต้องแจ้งลูกค้าที่ได้รับผลกระทบโดยไม่ชักช้าด้วย กติกานี้ไม่ใช่ทฤษฎี: ค่าปรับก้อนแรกของประเทศมีส่วนที่มาจากการไม่แจ้งใน 72 ชั่วโมงโดยตรง

บทลงโทษ: การบังคับใช้เริ่มจริงแล้ว

ช่วงปีแรก ๆ หลายคนมองว่า PDPA เป็นกฎหมายบนกระดาษ ตัวเลขช่วงหลังบอกคนละเรื่อง

• 21 สิงหาคม 2024: คณะกรรมการผู้เชี่ยวชาญของ สคส. สั่งปรับทางปกครองครั้งแรกของประเทศ รวม 7 ล้านบาท กับบริษัทค้าปลีกสินค้าไอทีรายใหญ่ แบ่งเป็น 1 ล้านบาทฐานไม่แต่งตั้ง DPO, 3 ล้านบาทฐานมาตรการความปลอดภัยไม่เพียงพอจนข้อมูลลูกค้าหลุดไปถึงแก๊งคอลเซ็นเตอร์ และ 3 ล้านบาทฐานไม่แจ้งเหตุละเมิดภายใน 72 ชั่วโมง (สรุปคดีโดยสำนักงานกฎหมาย DLA Piper)
• 1 สิงหาคม 2025: สคส. แถลงคำสั่งปรับ 8 รายการใน 5 คดี รวมประมาณ 21.5 ล้านบาท และทุกคดีมีความผิดฐานไม่รายงานเหตุละเมิดรวมอยู่ด้วย (ดูสรุปแนวโน้มการบังคับใช้ใน Chambers Practice Guides ฉบับประเทศไทย)
• เรื่องร้องเรียนต่อ สคส. สะสมถึง 2,672 เรื่อง ณ มกราคม 2026 (สรุปสถิติโดย EnerSys Legal)

เพดานโทษทางปกครองอยู่ที่ 5 ล้านบาทต่อการกระทำผิด การเปิดเผยข้อมูลอ่อนไหวโดยมิชอบมีโทษอาญาสูงสุดจำคุก 1 ปี และ/หรือปรับ 1 ล้านบาท ส่วนทางแพ่งศาลสั่งค่าเสียหายเชิงลงโทษได้ถึง 2 เท่าของความเสียหายจริง ร้านอาหารทั่วไปคงไม่ใช่เป้าแรกของ สคส. แต่กลไกที่ลูกค้าคนเดียวร้องเรียนได้ฟรีนั้นเปิดอยู่แล้ว และคดีที่ผ่านมาชี้ชัดว่าการ "ไม่รู้ ไม่แจ้ง" คือตัวคูณค่าปรับ

โทรและส่งข้อความหาลูกค้า: ยังไม่มีทะเบียน Do Not Call ของไทย

หลายประเทศมีทะเบียนกลางห้ามโทรขายของ ประเทศไทยยังไม่มีระบบที่เปิดใช้งานจริง สคส. ประกาศแผนทำระบบ "do not call" มาตั้งแต่ปี 2023 แต่จนถึงเดือนตุลาคม 2026 ยังไม่มีการเปิดตัวที่ยืนยันได้ (ข่าว Bangkok Post) ในทางปฏิบัติจึงแปลว่า ไม่มีทะเบียนกลางให้ร้านตรวจสอบก่อนโทร ความยินยอมแบบ opt-in ที่บันทึกไว้เป็นหลักฐานคือฐานเดียวที่ปลอดภัยสำหรับการตลาดทางโทรศัพท์ ข้อความ หรือ LINE broadcast ส่วนการยืนยันการจองที่ลูกค้าทำไว้เอง เป็นการปฏิบัติตามสัญญา ไม่ใช่การตลาด จึงทำได้ตามปกติ

สมุดจดกับแชท LINE: จุดเสี่ยง PDPA ที่มองไม่เห็น

ลองเทียบสองภาพนี้

ภาพแรก: การจองของร้านกระจายอยู่ในแชท LINE OA หลายร้อยเธรด สมุดจองหน้าเคาน์เตอร์ และโพสต์อิทข้างเครื่อง POS พนักงานทุกคนเปิดแชทได้จากมือถือร้าน (บางร้านคือมือถือส่วนตัว) ไม่มีใครรู้ว่าข้อมูลลูกค้าปีที่แล้วอยู่ตรงไหนบ้าง ลบไม่ได้เพราะหาไม่เจอ ถ้าลูกค้าใช้สิทธิ์ขอดูหรือขอลบข้อมูล ร้านต้องไล่เปิดแชทย้อนหลังทีละเธรด และถ้ามือถือเครื่องนั้นหาย นั่นอาจเป็นเหตุละเมิดข้อมูลที่ต้องประเมินการแจ้งภายใน 72 ชั่วโมง

ภาพที่สอง: การจองทุกช่องทางไหลเข้าระบบเดียว มีบัญชีผู้ใช้แยกตามคน กำหนดสิทธิ์ได้ ค้นหาลูกค้าได้ในไม่กี่วินาที ดูได้ว่าเก็บข้อมูลอะไรไว้ และลบได้จริงเมื่อถึงกำหนดหรือเมื่อลูกค้าขอ

ระบบจองที่มีโครงสร้างไม่ได้ทำให้ร้าน "ผ่าน PDPA โดยอัตโนมัติ" ไม่มีเครื่องมือไหนทำแบบนั้นได้ เพราะหน้าที่ตามกฎหมายอยู่ที่ตัวผู้ประกอบการ แต่โครงสร้างช่วยให้หน้าที่พื้นฐานทำได้จริง: รู้ว่าข้อมูลอยู่ไหน ใครเข้าถึงได้ และลบอย่างไร ระบบอย่าง ViteUneTable มีแผนฟรีที่รับจองได้ไม่จำกัดและไม่มีค่าคอมมิชชัน จึงเป็นจุดเริ่มที่ต้นทุนต่ำสำหรับร้านที่อยากย้ายข้อมูลการจองออกจากแชทมาไว้ในที่เดียว ร้านที่รับจองผ่าน LINE เป็นหลักไม่จำเป็นต้องเลิกใช้ LINE ด้วยซ้ำ แค่เปลี่ยนให้แชทเป็นทางเข้า แล้วให้ข้อมูลไปเก็บในระบบแทน ดูวิธีทำในบทความรับจองโต๊ะผ่าน LINE OA ให้เป็นระบบ

อีกจุดที่ข้อมูลการจองไปพันกับกติกาอื่นคือเรื่องมัดจำและการยกเลิก ซึ่งควรเขียนนโยบายยกเลิกการจองให้ชัดเจนและเป็นธรรมควบคู่ไปกับ privacy notice ของร้าน

เช็กลิสต์ PDPA ฉบับร้านอาหาร

1. ทำ privacy notice สั้น ๆ: บอกว่าเก็บข้อมูลอะไร เพื่ออะไร เก็บนานแค่ไหน ติดต่อร้านได้อย่างไร วางไว้ที่หน้าเว็บจอง หน้า LINE OA หรือ QR ที่หน้าร้าน
2. แยกการจองออกจากการตลาด: รับจองไม่ต้องขอความยินยอม แต่การส่งโปรโมชันต้องมี opt-in แยก ถอนได้ง่าย และไม่ติ๊กให้ล่วงหน้า
3. เก็บข้อมูลให้น้อยที่สุด: ชื่อ เบอร์ จำนวนที่นั่ง วันเวลา เพียงพอสำหรับการจองแล้ว ไม่ต้องขอเลขบัตรประชาชนหรือที่อยู่
4. ระวังข้อมูลแพ้อาหาร: เป็นข้อมูลอ่อนไหว บันทึกเท่าที่จำเป็นต่อความปลอดภัยของลูกค้า และขอความยินยอมชัดแจ้งหากจะเก็บถาวร
5. จัดการสิทธิ์เข้าถึง: กำหนดว่าใครเห็นข้อมูลลูกค้าได้ ตัดสิทธิ์ทันทีเมื่อพนักงานออก เลิกใช้รหัสผ่านกลางร่วมกัน
6. กำหนดระยะเวลาเก็บและลบจริง: ทั้งประวัติการจอง แชท และภาพกล้องวงจรปิด (อย่าลืมป้ายแจ้งกล้อง)
7. เตรียมขั้นตอนรับคำขอใช้สิทธิ์: ถ้าลูกค้าขอดู แก้ หรือลบข้อมูล ร้านต้องตอบได้ภายในเวลาอันสมควร และต้องบันทึกไว้หากปฏิเสธ
8. มีแผนรับมือข้อมูลรั่ว: ใครประเมิน ใครแจ้ง สคส. ภายใน 72 ชั่วโมง จดขั้นตอนไว้ล่วงหน้าหนึ่งหน้ากระดาษก็ยังดีกว่าไม่มี
9. ตรวจผู้ให้บริการที่เกี่ยวข้อง: ระบบจอง ระบบ POS หรือเอเจนซีการตลาดที่เข้าถึงข้อมูลลูกค้า ควรมีข้อตกลงการประมวลผลข้อมูลที่ชัดเจน

คำถามที่พบบ่อย

ร้านอาหารรับจองโต๊ะ ต้องขอความยินยอมจากลูกค้าก่อนเก็บชื่อและเบอร์โทรไหม

ไม่ต้อง การเก็บชื่อ เบอร์โทร จำนวนที่นั่ง และวันเวลาเพื่อรับและจัดการการจอง ใช้ฐานการปฏิบัติตามสัญญาตามมาตรา 24(3) ของ PDPA สิ่งที่ต้องทำคือแจ้งวัตถุประสงค์ให้ลูกค้าทราบ และไม่นำข้อมูลไปใช้เรื่องอื่น เช่น การส่งโปรโมชัน ซึ่งต้องขอความยินยอมแยกต่างหาก

ร้านเล็ก ๆ ได้รับยกเว้นจาก PDPA หรือไม่

ไม่ได้รับยกเว้น ประกาศ สคส. ต้นปี 2025 ยกเว้นเฉพาะหน้าที่จัดทำบันทึกรายการประมวลผล (RoPA) ให้กิจการที่รายได้ไม่เกิน 50 ล้านบาทต่อปีและพนักงานไม่เกิน 30 คนเท่านั้น หน้าที่เรื่องฐานทางกฎหมาย ความปลอดภัย การแจ้งเหตุละเมิด และสิทธิของลูกค้า ยังใช้กับร้านทุกขนาด

เก็บข้อมูลแพ้อาหารของลูกค้าไว้ในประวัติการจองได้ไหม

ได้ แต่ต้องระวังเป็นพิเศษ เพราะข้อมูลแพ้อาหารเป็นข้อมูลสุขภาพซึ่งจัดเป็นข้อมูลอ่อนไหวตามมาตรา 26 ควรบันทึกเฉพาะเมื่อลูกค้าแจ้งเองเพื่อความปลอดภัยในการให้บริการ เก็บเท่าที่จำเป็น และหากต้องการเก็บถาวรในโปรไฟล์ลูกค้า แนวทางที่ปลอดภัยที่สุดคือขอความยินยอมโดยชัดแจ้ง

ถ้าข้อมูลลูกค้าหลุด เช่น มือถือที่ใช้รับจองหาย ต้องทำอย่างไร

ประเมินความเสี่ยงทันที หากเหตุนั้นมีความเสี่ยงต่อสิทธิเสรีภาพของลูกค้า ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ และหากความเสี่ยงสูงต้องแจ้งลูกค้าที่ได้รับผลกระทบด้วย คดีปรับครั้งแรกของไทยเมื่อสิงหาคม 2024 มีค่าปรับ 3 ล้านบาทจากการไม่แจ้งภายในกำหนดโดยเฉพาะ

ส่ง LINE broadcast โปรโมชันหาลูกค้าที่เคยจองโต๊ะได้เลยไหม

ไม่ได้ การตลาดต้องมีความยินยอมตามมาตรา 19 ซึ่งแยกจากการจอง การที่ลูกค้าเคยจองหรือเคยแอดไลน์ร้านไม่ถือเป็นความยินยอมรับโปรโมชันโดยอัตโนมัติ ควรให้ลูกค้ากด opt-in ชัดเจน บันทึกหลักฐานไว้ และเปิดทางให้ยกเลิกได้ง่าย ประเทศไทยยังไม่มีทะเบียน Do Not Call กลางให้ตรวจสอบ ความยินยอมจึงเป็นฐานเดียวที่ปลอดภัย