บทบัญญัติที่ให้ความคุ้มครองข้อมูลส่วนบุคคลของบุคคลธรรมดา ให้สิทธิในการแก้ไข เข้าถึงหรือแจ้งลบข้อมูลที่ให้ไว้กับองค์กร และกำหนดบทบาทหน้าที่และบทลงโทษหากองค์กรไม่ปฏิบัติตาม

ปัจจุบันประเทศไทยมีพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล กำกับดูแลโดยสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล  กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม โดยกำหนดสิทธิต่างๆ แก่เจ้าของข้อมูลและกำหนดบทลงโทษหากองค์กรใดฝ่าฝืนหรือไม่ปฏิบัติตาม ให้พิจารณาความรับผิดชอบทางแพ่งและบทลงโทษทางอาญาและทางการปกครอง โดยกำหนดให้ต้องระวางโทษจำคุกไม่เกินหนึ่งปีหรือปรับไม่เกินห้าล้านบาท หรือทั้งจำทั้งปรับ

การคุ้มครองข้อมูลส่วนบุคคล มีความเกี่ยวข้องกับ

1. เจ้าของข้อมูลส่วนบุคคล (data subject) เป็นข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรม
2. ผู้ควบคุมข้อมูลส่วนบุคคล (data controller) เป็นบุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หากจำเป็นต้องเปิดเผยข้อมูลส่วนบุคคลไม่ว่าวัตถุประสงค์ใดก็ตาม จำเป็นต้องได้รับคำยินยอม (consent) จากเจ้าของข้อมูลด้วย
3. ผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) เป็นบุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล

การคุ้มครองข้อมูลส่วนบุคคล ประกอบด้วย

1. ข้อมูลที่ได้รับความคุ้มครอง ประกอบด้วย
   1.1 ข้อมูลส่วนบุคคล (personal data) ข้อมูลใดๆ ที่ระบุไปถึงเจ้าของข้อมูลได้ เช่น ชื่อ-สกุล ที่อยู่ เลขบัตรประชาชน อีเมล แบอร์โทรศัพท์ รูปภาพใบหน้า ข้อมูลอัตลักษณ์เสียง เลขบัญชีธนาคาร ทะเบียนรถ
   1.2 ข้อมูลส่วนบุคคลที่ละเอียดอ่อน (sensitive personal data) เป็นข้อมูลส่วนบุคคลที่เป็นเรื่องส่วนตัวของบุคคล แต่มีความละเอียดอ่อนและสุ่มเสี่ยงต่อการถูกใช้ในการเลือกปฏิบัติอย่างไม่เป็นธรรม จึงจำเป็นต้องดำเนินการด้วยความระมัดระวังเป็นพิเศษ เช่น เชื้อชาติ พฤติกรรมทางเพศ ความเชื่อในลัทธิ ข้อมูลสุขภาพ ประวัติอาชญากรรม ความคิดเห็นทางการเมือง
2. ข้อมูลที่ไม่ถือเป็นข้อมูลส่วนบุคคล เป็นข้อมูลนิติบุคคล ข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ เช่น อีเมลบริษัท ข้อมูลนิรนามหรือนามแฝง

ปรับปรุงล่าสุดเมื่อ 04/03/2565