ลูกค้าขอดู ขอลบ ขอหยุดใช้ข้อมูล ตอบอย่างไรให้ทันกำหนด

สมมติว่าเช้าวันจันทร์ ฝ่ายบริการลูกค้าได้รับอีเมลสามฉบับ ฉบับแรกขอสำเนาข้อมูลทั้งหมดที่บริษัทมี ฉบับที่สองขอให้ลบบัญชี ฉบับที่สามบอกว่าไม่อยากได้ข้อความโฆษณาอีก ทั้งสามฉบับอ้าง PDPA และทั้งสามฉบับมีเส้นตายไม่เท่ากัน

หลายองค์กรใช้เส้นตายเดียวกับทุกคำขอ ซึ่งพลาดได้สองทาง ถ้าใช้ 90 วันกับทุกเรื่อง คำขอสำเนาจะเลยกำหนด ถ้าใช้ 30 วันกับทุกเรื่อง ก็ไม่ผิดกฎหมาย แต่คำคัดค้านการตลาดที่ต้องทำทันทีจะถูกปล่อยไว้หลายสัปดาห์ บทความนี้วางเส้นตายของแต่ละสิทธิจากตัวบท แล้วเรียงเป็นขั้นตอนที่ทีมใช้ได้จริง

สิทธิแต่ละอย่างมีกำหนดเวลาเท่าไร?

เร็วที่สุดคือการคัดค้านการตลาดแบบตรงซึ่งต้องทำทันที รองลงมาคือคำขอเข้าถึงและขอสำเนาซึ่งต้องไม่เกิน 30 วัน ส่วนคำขอลบมีกรอบไม่เกิน 90 วันตามประกาศคณะกรรมการฯ สิทธิที่เหลือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ได้ระบุจำนวนวันไว้

สำหรับสิทธิที่ พ.ร.บ. ไม่ได้ให้จำนวนวันไว้ แนวปฏิบัติ TDPG 4.0 ให้ใช้กรอบเดียวกันกับทุกคำขอ แนวปฏิบัตินี้ไม่มีผลบังคับเหมือนพระราชบัญญัติ แต่ใช้ตั้งเป็นมาตรฐานภายในได้ และทำให้ทีมจำตัวเลขเดียวสำหรับคำขอเกือบทุกแบบ

ประกาศเรื่องการเข้าถึงข้อมูล พ.ศ. 2569 เพิ่มอะไรขึ้นมา?

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยหลักเกณฑ์การเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคล พ.ศ. 2569 ออกตามมาตรา 30 วรรคห้า มีผลตั้งแต่ 15 กันยายน 2569 ใช้กับคำขอเข้าถึงและขอสำเนาตามมาตรา 30 เท่านั้น สาระที่ทีมรับคำขอต้องรู้มีดังนี้

• ต้องเปิดช่องทางยื่นคำขอที่สถานที่ทำการและทางไปรษณีย์ ส่วนช่องทางอิเล็กทรอนิกส์จะเพิ่มก็ได้ (ข้อ 5)
• ตรวจรายละเอียดคำขอและยืนยันตัวผู้ยื่นให้เสร็จไม่เกิน 15 วันนับแต่ได้รับคำขอ (ข้อ 7 วรรคหนึ่ง)
• ถ้าคำขอหรือเอกสารไม่ครบ ให้แจ้งแก้โดยกำหนดเวลาไม่น้อยกว่า 10 วัน และให้ถือว่าได้รับคำขอในวันที่ได้ฉบับที่ครบแล้ว (ข้อ 7 วรรคสอง)
• ถ้าไม่แก้ภายในเวลา ถือว่าละทิ้งคำขอ แต่เจ้าของข้อมูลยื่นใหม่ได้ (ข้อ 7 วรรคสาม)
• ข้อมูลปริมาณมากหรือมีเหตุจำเป็นอื่น ขยายเวลาได้อีกไม่เกิน 30 วัน โดยต้องแจ้งเหตุผลให้เจ้าของข้อมูลทราบ (ข้อ 10 วรรคสอง)
• ส่งผ่านช่องทางอิเล็กทรอนิกส์ที่ไม่มีค่าสื่อหรือค่าจัดส่งโดยตรง ห้ามเก็บค่าธรรมเนียม (ข้อ 11 วรรคหนึ่ง)
• เก็บบันทึกคำขอ เอกสาร และผลการดำเนินการหรือการปฏิเสธไว้ไม่น้อยกว่า 2 ปี (ข้อ 12)

รายการข้างบนเป็นการสรุปความ ส่วนที่เป็นเส้นตายและหน้าที่เก็บหลักฐาน ยกถ้อยคำจากประกาศการเข้าถึงฯ 2569 (ราชกิจจานุเบกษา เล่ม 143 ตอนพิเศษ 175 ง) มาให้อ่านตรง ๆ ดังนี้ เริ่มจากกรอบ 15 วันสำหรับการตรวจคำขอและยืนยันตัวผู้ยื่น

เมื่อตรวจผ่านแล้ว กรอบ 30 วันสำหรับส่งข้อมูลยังนับจากวันที่ได้รับคำขอ ไม่ได้นับจากวันที่ตรวจเสร็จ

หลักฐานทั้งหมดนี้ต้องเก็บไว้ให้ตรวจย้อนหลังได้ ข้อ 12 กำหนดระยะเวลาขั้นต่ำไว้ และยอมให้เก็บเป็นไฟล์อิเล็กทรอนิกส์

คำขอลบไม่อยู่ใต้ประกาศฉบับนี้ แต่ยังอยู่ใต้ประกาศการลบฯ พ.ศ. 2567 ที่มีกรอบ 90 วันเหมือนเดิม

ยืนยันตัวผู้ขออย่างไรโดยไม่สร้างภาระเกินไป?

ต้องแน่ใจว่าผู้ขอคือเจ้าของข้อมูลหรือผู้มีอำนาจแทนจริง เพราะการส่งสำเนาข้อมูลให้คนผิดคนเท่ากับเปิดเผยข้อมูลโดยไม่มีอำนาจ ซึ่งอาจกลายเป็นเหตุละเมิดข้อมูลส่วนบุคคลขึ้นมาเอง TDPG 4.0 วางขั้นตอนนี้ไว้เป็นขั้นที่สองต่อจากการรับเรื่อง

ถ้าผู้ยื่นเป็นคนอื่น TDPG ให้ตรวจว่ามีอำนาจทำแทนหรือไม่ เช่น หนังสือมอบอำนาจ ผู้ปกครองในกรณีเจ้าของข้อมูลเป็นเด็ก หรือผู้อนุบาลและผู้พิทักษ์ ประกาศการเข้าถึงฯ 2569 ข้อ 6 ลงรายละเอียดว่าผู้รับมอบอำนาจต้องแนบหนังสือมอบอำนาจที่ติดอากรแสตมป์ครบถ้วน พร้อมสำเนาเอกสารประจำตัวที่รับรองสำเนาถูกต้อง

คำขอที่ยื่นทางช่องทางอิเล็กทรอนิกส์ ประกาศฉบับเดียวกันให้ผู้ควบคุมข้อมูลใช้วิธียืนยันตัวตนแบบอื่นแทนสำเนาบัตรได้ ตราบที่ไม่สร้างอุปสรรคเกินสมควร ถ้าลูกค้าขอผ่านบัญชีที่ล็อกอินอยู่แล้ว การยืนยันผ่านบัญชีนั้นหรือรหัสที่ส่งไปยังอีเมลที่ลงทะเบียนไว้อาจเพียงพอ โดยไม่ต้องเก็บสำเนาบัตรประชาชนเพิ่ม

TDPG ยังแนะนำให้เก็บร่องรอยการยืนยันตัวตนเท่าที่จำเป็น เช่น วันเวลา รูปแบบคำขอ และผลการตรวจ เพื่อใช้พิสูจน์ภายหลังถ้ามีข้อพิพาท ส่วนสำเนาเอกสารที่ได้มาระหว่างทาง ไม่ควรเก็บไว้นานกว่าที่ต้องใช้

ขั้นตอนรับมือคำขอ ตั้งแต่วันรับเรื่องถึงวันปิดเรื่อง

เส้นตายทุกข้อนับจากวันที่ได้รับคำขอ ไม่ใช่วันที่เรื่องไปถึงฝ่ายกฎหมาย คำขอที่ค้างในกล่องอีเมลของพนักงานขายสองสัปดาห์ก็กินเวลาไปสองสัปดาห์แล้ว TDPG ข้อ H3 จึงให้คนที่ได้รับคำขอส่งต่อทันที และให้มีระบบบันทึกวันที่ได้รับ ผู้ขอ และผู้รับเรื่อง

1. วันที่ 0
   รับคำขอจากทุกช่องทาง ลงทะเบียนวันที่ได้รับ ผู้ขอ ผู้รับเรื่อง และส่งต่อผู้รับผิดชอบทันที ถ้าเป็นการคัดค้านการตลาดแบบตรง ใส่รายชื่อห้ามส่งในทุกระบบวันนั้นเลยTDPG H3 · ม.32 วรรคสอง
2. ภายใน 15 วัน
   ตรวจความครบถ้วนและยืนยันตัวตน ถ้าไม่ครบ แจ้งให้แก้โดยให้เวลาไม่น้อยกว่า 10 วันประกาศการเข้าถึงฯ 2569 ข้อ 7
3. ระหว่างตรวจสอบ
   ถ้าเจ้าของข้อมูลขอให้ระงับการใช้ระหว่างที่บริษัทตรวจความถูกต้องหรือพิสูจน์เหตุปฏิเสธการคัดค้าน ให้ระงับไว้ก่อนม.34 (1) (4)
4. ไม่เกิน 30 วัน
   ส่งสำเนาหรือเปิดให้เข้าถึงข้อมูล หรือแจ้งปฏิเสธพร้อมเหตุผล ถ้าต้องขยายเวลา แจ้งเหตุผลและรายละเอียดให้เจ้าของข้อมูลทราบม.30 วรรคสี่ · ประกาศ 2569 ข้อ 10
5. ไม่เกิน 90 วัน
   ลบ ทำลาย หรือทำให้ไม่ระบุตัวตนให้ครบทุกระบบรวมสำเนาและข้อมูลสำรอง แล้วแจ้งผลให้เจ้าของข้อมูลทราบประกาศการลบฯ 2567 ข้อ 3 · ข้อ 8
6. ปิดเรื่อง
   บันทึกผล ถ้าปฏิเสธให้ลงรายการตามมาตรา 39 (7) และเก็บบันทึกคำขอเข้าถึงไว้ไม่น้อยกว่า 2 ปีม.39 (7) · ประกาศ 2569 ข้อ 12

คำขอลบต้องลบแค่ไหนจึงจะพอ?

ต้องลบให้ครอบคลุมสำเนาและข้อมูลสำรอง และต้องกู้คืนกลับมาไม่ได้ ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ พ.ศ. 2567 กำหนดทั้งเวลาและขอบเขตไว้

ถ้าลบจากระบบสำรองไม่ทันเพราะเหตุผลทางเทคนิค เช่นข้อมูลที่รอเขียนทับตามรอบ ข้อ 4 ไม่ได้ให้ปล่อยไว้เฉย ๆ ระหว่างรอต้องทำให้ข้อมูลนั้นเข้าถึงหรือใช้ได้ยาก มีมาตรการกันไม่ให้ใครนำกลับมาใช้ตัดสินใจเรื่องใดเกี่ยวกับเจ้าของข้อมูล และต้องลบทันทีเมื่อทำได้

จะลบ หรือจะทำให้ไม่ระบุตัวตน บริษัทเลือกเองได้ไหม

ได้ในกรณีทั่วไป ข้อ 3 วรรคสามให้ผู้ควบคุมข้อมูลเลือกวิธีอื่นตามประกาศได้ แม้ต่างจากที่เจ้าของข้อมูลขอ แต่ต้องแจ้งให้เจ้าของข้อมูลทราบ ข้อยกเว้นสำคัญคือข้อมูลที่เก็บหรือใช้มาโดยไม่ชอบด้วยกฎหมายตามมาตรา 33 (4)

ถ้าเลือกทำให้ไม่ระบุตัวตน ข้อ 6 ไม่ได้ให้แค่ลบชื่อออก ต้องลบตัวระบุทางตรงทั้งหมด ตั้งแต่ชื่อ เลขบัตร รหัสลูกค้า เบอร์โทร อีเมล ทะเบียนรถ ภาพใบหน้า ไปจนถึงชื่อบัญชีผู้ใช้ จากนั้นยังต้องลดโอกาสระบุตัวจากตัวระบุทางอ้อม เช่น วันเกิด ตำแหน่งงาน ที่อยู่ หรือ IP address ให้ต่ำพอ

ถ้าลบได้ไม่หมดเพราะกฎหมายอื่นสั่งให้เก็บ เช่นข้อมูลจราจรทางคอมพิวเตอร์ วิธีแยกข้อมูลรายก้อนว่าก้อนไหนเก็บ ก้อนไหนลบ อยู่ในบทความ Log 90 วันกับสิทธิขอลบ และแนวทางตั้งระยะเวลาเก็บรักษาอยู่ใน คู่มือการเก็บรักษาและการลบ

ปฏิเสธคำขอได้เมื่อไร และปฏิเสธแล้วต้องทำอะไร?

ปฏิเสธได้เฉพาะเหตุที่กฎหมายเปิดไว้ให้สิทธินั้น ๆ และทุกครั้งที่ปฏิเสธต้องแจ้งเหตุผลและบันทึกไว้ เหตุปฏิเสธไม่ได้ใช้ร่วมกันทุกสิทธิ ต้องดูทีละมาตรา เริ่มจากคำขอเข้าถึงซึ่งพบบ่อยที่สุด

ประกาศการเข้าถึงฯ 2569 ข้อ 8 อธิบายเพิ่มว่าการกระทบผู้อื่นรวมถึงข้อมูลส่วนบุคคลของคนอื่น ความลับของทางราชการ ความลับทางการค้า และทรัพย์สินทางปัญญาของผู้อื่น และให้ทำตามคำขอเท่าที่ทำได้ โดยลบหรือตัดทอนส่วนที่กระทบผู้อื่นออก แทนการปฏิเสธทั้งฉบับ

TDPG ข้อ H5 แนะนำเพิ่มว่าเมื่อปฏิเสธ ควรบอกเจ้าของข้อมูลด้วยว่ามีสิทธิร้องเรียนต่อหน่วยงานกำกับดูแลและสิทธิเยียวยาทางศาล ส่วนเหตุอย่างคำขอที่ไม่สมเหตุสมผลหรือฟุ่มเฟือยเกินจำเป็นซึ่ง TDPG ยกไว้ในข้อ H20 ควรใช้อย่างระวังและมีหลักฐานรองรับ เพราะมาจากแนวปฏิบัติ ไม่ใช่ถ้อยคำในมาตรา

ถ้าไม่ตอบคำขอลบหรือคำขอระงับการใช้เลย มาตรา 33 และมาตรา 34 ให้เจ้าของข้อมูลร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมข้อมูลดำเนินการได้ การปฏิเสธที่มีเหตุผลและมีบันทึกจึงปลอดภัยกว่าการเงียบเสมอ

ข้อผิดพลาดที่ทำให้พลาดเส้นตายบ่อยที่สุด

แบบฟอร์มคำขอและตัวอย่างหนังสือตอบอยู่ใน คู่มือคำขอใช้สิทธิ วิธีลงบันทึกการปฏิเสธในช่อง (7) ของบันทึกรายการอยู่ใน บทความเรื่อง RoPA และถ้าคำขอส่วนใหญ่เป็นเรื่องเลิกรับโฆษณา ดูวิธีจัดรายชื่อห้ามส่งใน บทความเรื่องรายชื่อลูกค้าและคุกกี้

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)