ตามที่ระบุไว้ในตอนต้นว่า กฎหมาย PDPA ได้กำหนดหน้าที่ตามสถานะของการดำเนินการข้อมูลส่วนบุคคล ดังนี้ :

ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่

1. จัดให้มีมาตรการรักษาความมั่นคงปลอดภัย และต้องทบทวนมาตรการเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลง
2. ในกรณีที่ต้องให้ข้อมูลส่วนฯ แก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล ต้องดำเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ
3. จัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลอย่างเหมาะสม หรือเจ้าของข้อมูลร้องขอตามสิทธิของกฎหมาย
4. แจ้งเหตุ การละเมิดข้อมูลส่วนบุคคล แก่คณะกรรมการคุ้มครองข้อมูลฯ โดยไม่ชักช้าภายใน 72 ชั่วโมง นับแต่ทราบเหตุเท่าที่จะสามารถทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อเจ้าของข้อมูล ในกรณีที่การละเมิดมีความเสี่ยงสูง ให้แจ้งเหตุ การละเมิดให้เจ้าของข้อมูลทราบพร้อมกับแนวทางการเยียวยา
5. หากผู้ควบคุมข้อมูลไม่ได้อยู่ในประเทศ ให้แต่งตั้งตัวแทนที่อยู่ในประเทศ เป็นหนังสือและต้องได้รับมอบอำนาจกระทำแทนโดยไม่มีข้อจำกัด

ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่

1. เก็บรวบรวมใช้ หรือเปิดเผยข้อมูลตามคำสั่งของผู้ควบคุมข้อมูลฯ เท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมาย ซึ่งผู้ควบคุมข้อมูลฯ และผู้ประมวลผลข้อมูลฯ จะต้องมีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงานตามหน้าที่
2. จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลฯ ทราบถึงเหตุ การละเมิดข้อมูลที่เกิดขึ้น
3. จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลไว้ หากไม่ทำบันทึกฯ จะเข้าข่ายสถานะเป็นผู้ควบคุมข้อมูลฯ

จะเห็นว่า ‘หน้าที่’ ของผู้ควบคุมข้อมูลฯ และผู้ประมวลผลข้อมูลฯ มีความเกี่ยวโยงและคล้ายกันในบางข้อ แต่หากจะถามหาความรับผิดชอบที่เกิดขึ้น อาจจะต้องดูที่เงื่อนไขสัญญาและข้อตกละระหว่างกันว่า เกิดความผิดพลาดที่เป็นการปฏิบัติตามข้อตกลงหรือ เป็นความผิดพลาดอื่นๆ เช่น ทำผิดข้อตกลง อุปกรณ์เก็บข้อมูลเกิดความเสียหาย โดนโจมตีทางไซเบอร์ หรือเป็นความผิดพลาดจากความประมาทเลินเล่อที่ไม่ได้มีเจตนา

ส่วนความรับผิดชอบที่เกิดจากการรั่วไหลและละเมิดข้อมูล ตามกฎหมาย ‘ผู้ควบคุมข้อมูลฯ’ คงไม่สามารถปฏิเสธความรับผิดชอบที่เกิดขึ้นได้ เว้นแต่จะมีเหตุผลหรือหลักฐานที่เพียงพอ อย่างไรก็ตามคำตัดสินของความผิดที่เกิดขึ้นจะเป็นหน้าที่คณะกรรมการคุ้มครองข้อมูลฯ ในการวินิจฉัยความรับผิดชอบและกำหนดบทลงโทษ  

แล้ว DPO จะต้องรับผิดชอบความผิดการละเมิดดัวยหรือไม่?

 สำหรับองค์กรที่มีการเก็บ ประมวลผล หรือเปิดเผยข้อมูลเป็นจำนวนมาก หรือมีการดำเนินการอย่างสม่ำเสมอจะจะต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือ DPO (Data Protection Officer) ของตนตามกฎหมาย ซึ่งบางท่านอาจสงสัยว่า ตำแหน่งนี้จะต้องรับผิดชอบความเสียหายในกรณีละเมิดข้อมูลด้วยหรือไม่

หากพิจารณาจากหน้าที่ของ DPO คือ ให้คำแนะนำ ตรวจสอบการดำเนินการ ประเมินความเสี่ยง ส่งเสริมและจัดให้มีมาตรการคุ้มครองข้อมูลภายในองค์กรอย่างเหมาะสม และรักษาความลับในการทำตามหน้าที่ ซึ่งดูจากมุมนี้ดูเหมือนว่าจะต้องมีบทบาทในความรับผิดชอบหากเกิดการละเมิดด้วย

ทว่าตำแหน่ง DPO เป็นหน้าที่ซึ่งมีกฎหมาย PDPA คุ้มครอง หมายความว่า บริษัทไม่สามารถไล่ออกหรือเลิกจากในกรณีที่ DPO ปฏิบัติหน้าที่ได้ แต่หากในกรณีการละเลยการปฏิบัติหน้าที่ องค์กรอาจประเมินคุณภาพในการดำเนินงานของ DPO ได้ตามกฎขององค์กรแต่จะให้ร่วมรับผิดชอบความเสียหายในกรณีการละเมิดย่อมไม่ได้

สุดท้ายนี้ หลายๆ ท่านอาจจะสงสัยอีกว่า ในกรณีความรับผิดชอบเฉพาะบุคคลจะเกิดขึ้นในลักษณะใด ซึ่งเรื่องนี้หากเทียบเคียงกับเหตุการณ์ละเมิดและฟ้องร้องในต่างประเทศ จะเห็นว่าองค์กรจะเป็นผู้รับผิดชอบความเสียหายที่เกิดขึ้น รวมทั้งบทลงโทษ ส่วนความรับผิดเฉพาะบุคคล อาทิ เจ้าหน้าที่ หรือผู้ที่มีบทบาทสำคัญในองค์กรนั้น จะแสดงความรับผิดชอบต่อเหตุการณ์ละเมิดด้วยหรือไม่ ก็ขึ้นอยู่กับการพิจารณาของแต่ละองค์กร หรือหากเป็นการจงใจกระทำผิดเฉพาะบุคคลที่ส่งผลเสียต่อองค์กร องค์กรนั้นก็สามารถดำเนินการเอาผิดกับบุคคลดังกล่าวตามขั้นตอนของกฎหมายได้เช่นกัน