จากวันนั้นถึงวันนี้ผ่านมา 23 ปี กฎหมายฉบับนี้คลอดออกมา และจะมีผลบังคับใช้อย่างเต็มรูปแบบในปี 2563

สาระสำคัญของกฎหมายฉบับนี้คือ การให้ความคุ้มครองข้อมูลข่าวสารส่วนบุคคล เช่น การศึกษา ฐานะการเงิน ประวัติสุขภาพ ประวัติอาชญากรรม ประวัติการทำงาน และข้อมูลส่วนบุคคล เช่น ลายพิมพ์นิ้วมือ แผ่นบันทึกลักษณะเสียง เลขบัตรประชาชน หรือเลขหมายเอกสารส่วนตัวอื่น ๆ โดยห้ามไม่ให้ผู้อื่นนำข้อมูลดังกล่าวไปใช้เพื่อประโยชน์ในด้านใดด้านหนึ่งที่เจ้าของข้อมูลไม่ยินยอมให้นำไปใช้ประโยชน์

เนื่องจากปัจจุบันเราต้องติดต่อกับหน่วยงานและองค์กรต่าง ๆ ทั้งภาครัฐและเอกชน โดยใช้ข้อมูลส่วนตัวในการติดต่อเพื่อทำธุรกรรมต่าง ๆ เช่น การเปิดบัญชีเงินฝากกับสถาบันการเงิน เราต้องให้ข้อมูลส่วนตัวทั้งสำเนาบัตรประชาชน ที่อยู่ เบอร์โทรศัพท์เพื่อการติดต่อ ข้อมูลที่เราให้เหล่านี้คือใช้เพื่อการเปิดบัญชีเงินฝากกับธนาคารและเราอนุญาตให้ใช้เพื่อเปิดบัญชีกับธนาคารเท่านั้น แต่สิ่งที่เราต้องเผชิญในปัจจุบันคือ ข้อมูลดังกล่าวถูกนำไปใช้ในเชิงพาณิชย์ โดยขายข้อมูลต่าง ๆ ของเราให้หน่วยงานหรือองค์กรอื่น ๆ เพื่อไปใช้ประโยชน์ในด้านอื่น ๆ เช่น เรามักจะได้รับโทรศัพท์ติดต่อเพื่อเสนอขายสินค้าต่าง ๆ ทางโทรศัพท์ ทั้ง ๆ ที่เราไม่เคยติดต่อกับองค์กรดังกล่าวเลย ซึ่งถือเป็นการละเมิดสิทธิส่วนบุคคลของเรา

กฎหมายคุ้มครองข้อมูลส่วนบุคคล จะเข้ามาแก้ไขปัญหานี้ โดยระบุให้องค์กรหรือหน่วยงานที่เกี่ยวข้องที่เก็บข้อมูลส่วนบุคคลของประชาชนไม่ว่าจะเป็นบริษัทเอกชน หรือหน่วยงานภาครัฐ ต้องไม่นำเอาข้อมูลส่วนตัวของเราไปใช้ในกิจกรรมอื่น ๆ ที่เราไม่ยินยอม

องค์ประกอบของกฎหมายได้กำหนดให้ ผู้เก็บข้อมูล ไม่ว่าจะเป็นหน่วยงานของรัฐ หรือผู้ประกอบการเอกชนที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก หรือผู้ประกอบการที่มีกิจกรรมหลัก คือ การเก็บข้อมูล การใช้ข้อมูล หรือการเปิดเผยข้อมูล ต้องจัดให้มี “เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล” เป็นของตัวเอง ซึ่งอาจเป็นพนักงานของผู้ประกอบการนั้น ๆ หรือเป็นผู้รับจ้างให้บริการ (Outsource) มีหน้าที่ในการจัดเก็บและคุ้มครองข้อมูลส่วนบุคคลไม่ให้รั่วไหลไปยังบุคคลภายนอก เพื่อนำไปใช้ในกิจกรรมที่เจ้าของข้อมูลไม่ได้ให้การยินยอมนำไปใช้

เนื้อหาและวัตถุประสงค์ของกฎหมายอ่านแล้วน่าจะดีสำหรับประชาชน เพราะเป้าหมายคือการคุ้มครองข้อมูลส่วนบุคคล ซึ่งเราไม่เคยได้รับการคุ้มครองมาก่อน แต่เมื่อเข้าไปดูไส้ในของกฎหมายโดยเฉพาะมาตรา 4 ของกฎหมายฉบับนี้ที่มีข้อยกเว้นไม่ให้กฎหมายฉบับนี้มีผลบังคับใช้กับกิจการ 6 ประเภทคือ

การเก็บข้อมูล การใช้ข้อมูล และการเปิดเผยข้อมูล เพื่อประโยชน์ของตัวเองหรือกิจกรรมในครอบครัว, การดำเนินงานของหน่วยงานของรัฐที่มีหน้าที่รักษาความมั่นคงของรัฐ ซึ่งรวมถึง ความมั่นคงทางการคลังของรัฐ หรือการรักษาความปลอดภัยของประชาชน รวมทั้งหน้าที่เกี่ยวกับ การป้องกันและปราบปรามการฟอกเงิน นิติวิทยาศาสตร์ หรือการรักษาความมั่นคงปลอดภัยไซเบอร์, การเปิดเผยข้อมูลส่วนบุคคลเพื่อกิจการสื่อมวลชน ศิลปกรรม หรือวรรณกรรม ตามจริยธรรมของวิชาชีพหรือเป็นประโยชน์สาธารณะ, การทำงานของสภาผู้แทนราษฎร วุฒิสภา และรัฐสภา ในการพิจารณาตามอำนาจหน้าที่, การพิจารณาคดีของศาล และเจ้าหน้าที่ในกระบวนการยุติธรรม,และ การดำเนินการกับข้อมูลของบริษัทข้อมูลเครดิตและสมาชิก

ข้อยกเว้นดังกล่าวทำให้เกิดการโจมตีจากนักวิชาการว่า แก่นแท้ของกฎหมายฉบับนี้ไม่ได้ให้ความคุ้มครองกับการล่วงละเมิดข้อมูลอย่างแท้จริงให้กับประชาชน