การทำให้ข้อมูลระบุตัวไม่ได้แทนการลบ เป็นทางเลือกที่ประกาศฯ ปี 2567 เปิดให้ธนาคารใช้ได้เมื่อลูกค้าขอลบข้อมูล โดยต้องแจ้งลูกค้า และห้ามใช้กับข้อมูลที่ได้มาโดยไม่ชอบ บทความนี้สรุปคำตอบ สคส. ต่อสมาคมธนาคารไทย เรื่อง backup ตารางจับคู่รหัส และข้อมูลที่ต้องเก็บตามกฎหมายอื่น
- ลูกค้าขอให้ลบ ธนาคารเลือกทำให้ข้อมูลระบุตัวไม่ได้แทนได้ตามข้อ 3 วรรคสามของประกาศฯ ปี 2567 แต่ต้องแจ้งลูกค้า
- ข้อมูลที่เก็บมาโดยไม่ชอบด้วยกฎหมายตามมาตรา 33 (4) ต้องลบหรือทำลายเท่านั้น ข้อ 7 ห้ามใช้วิธีทำให้ระบุตัวไม่ได้แทน
- เปลี่ยนรหัสลูกค้าแล้ว แต่ยังเก็บตารางจับคู่ที่เปิดใช้ได้ เป็นแค่การแฝงข้อมูล ข้อมูลยังเป็นข้อมูลส่วนบุคคล
- ข้อมูลใน backup ที่ลบไม่ทัน 90 วัน ต้องกันไว้ไม่ให้ใช้ตามเกณฑ์ห้าข้อในข้อ 4 แล้วลบทันทีที่ทำได้
- อ้างเหตุผลความจำเป็นที่สำคัญตามข้อ 5 ได้ แต่ธนาคารมีภาระพิสูจน์ และต้องชี้แจงลูกค้าที่ยื่นคำขอ
คำขอให้ลบข้อมูลเป็นเรื่องที่ธนาคารได้รับอยู่เรื่อย ๆ ทั้งจากลูกค้าที่ปิดบัญชีแล้ว คนที่เคยยื่นขอสินเชื่อแต่ไม่ได้ทำสัญญา และคนที่ไม่อยากรับข้อเสนอขายอีก ที่ยากคือข้อมูลของลูกค้าคนเดียวกระจายอยู่ทั้งในระบบหลัก คลังข้อมูล ไฟล์สำรอง และแฟ้มกระดาษ และหลายส่วนยังต้องเก็บไว้ตามกฎหมายอื่น
สมาคมธนาคารไทยจึงทำร่างคู่มือการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ระบุตัวบุคคลไม่ได้ ไว้ให้สถาบันการเงินนำไปปรับใช้ ผู้แทนหน่วยงานที่เกี่ยวข้องประชุมกันเมื่อวันที่ 8 สิงหาคม 2568 เห็นว่าหลักการของร่างสอดคล้องกับกฎหมาย แต่รายละเอียดอย่างตัวอย่างการปฏิบัติ ควรถามสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ก่อน
สมาคมฯ ส่งคำถาม 4 ข้อ และได้คำตอบพร้อมข้อสังเกตต่อร่างคู่มือจากคณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
บทความนี้เล่าความเห็นนั้นด้วยถ้อยคำของเรา ส่วนข้อความในกรอบตัวบทคัดจาก พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) และประกาศฯ ปี 2567 คำต่อคำ
- เหตุผลความจำเป็นที่สำคัญตามข้อ 5 ของประกาศฯ ที่ทำให้ไม่ต้องลบ มีตัวอย่างอะไรบ้าง
- หลักการทำให้ข้อมูลเข้าถึงหรือใช้งานไม่ได้ (put beyond use) คืออะไร
- การลบหรือทำให้ระบุตัวไม่ได้ ต้องแยกวิธีตามรูปแบบการจัดเก็บข้อมูลอย่างไร
- ถ้าลบข้อมูลของคนหนึ่งแล้วกระทบข้อมูลของคนอื่นในฐานข้อมูลเดียวกัน เช่น ไฟล์แบบ row-based หรือ column-based ใช้วิธีทำให้เข้าถึงหรือใช้งานไม่ได้แทนได้หรือไม่
ลูกค้าขอให้ลบ ธนาคารทำให้ข้อมูลระบุตัวไม่ได้แทนได้หรือไม่?
ได้ในกรณีทั่วไป ข้อ 3 วรรคสามของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ให้ผู้ควบคุมข้อมูลใช้วิธีอื่นตามประกาศได้ แม้ลูกค้าจะขอมาเพียงวิธีเดียว แต่ต้องแจ้งลูกค้าให้ทราบ
ในกรณีที่เจ้าของข้อมูลส่วนบุคคลใช้สิทธิให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ เพียงอย่างใดอย่างหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลอาจดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ด้วยวิธีการอย่างอื่นตามประกาศนี้ ซึ่งอาจแตกต่างจากที่เจ้าของข้อมูลส่วนบุคคลร้องขอก็ได้ โดยผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่แจ้งให้เจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิทราบด้วย เว้นแต่จะเป็นกรณีตามข้อ 7
สมาคมฯ ไม่ได้ถามเรื่องนี้ตรง ๆ แต่ธนาคารต้องตัดสินใจเรื่องนี้ทุกครั้งที่รับคำขอลบ ในการอ่านของเรา ข้อมูลที่ทำให้ระบุตัวไม่ได้ครบตามข้อ 6 แล้ว ไม่เข้าบทนิยามข้อมูลส่วนบุคคลในมาตรา 6 ธนาคารจึงเก็บไว้ทำสถิติหรือทดสอบแบบจำลองต่อได้ ขอเพียงทำให้ถึงเกณฑ์ได้จริง
เมื่อเลือกทางนี้แล้ว ข้อ 8 วรรคสองของประกาศฯ ให้แจ้งรายละเอียดการทำให้ข้อมูลระบุตัวไม่ได้แก่ลูกค้าตามสมควร เว้นแต่ลูกค้ารู้อยู่แล้ว และถ้าทำตามคำขอไม่ได้เลย ข้อ 8 วรรคสามให้แจ้งลูกค้าพร้อมเหตุผล
ข้อมูลที่เก็บมาโดยไม่ชอบ ต้องลบหรือทำลายเท่านั้น
ทางเลือกนี้ใช้ไม่ได้ เมื่อลูกค้าขอลบเพราะข้อมูลถูกเก็บ ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมายตามมาตรา 33 (4) ของ PDPA เพราะข้อ 7 ของประกาศฯ ไม่ยอมให้ใช้การทำให้ระบุตัวไม่ได้แทนการลบ
ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเท่านั้น โดยไม่อาจดำเนินการทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ตามข้อ 6 แทนได้
ข้อแนะนำของเรา: ถ้าธนาคารยังไม่แน่ใจว่าข้อมูลชุดหนึ่งได้มาโดยชอบหรือไม่ เช่น รายชื่อจากคู่ค้าที่ไม่มีหลักฐานว่ามีฐานทางกฎหมาย อย่าเลือกทำให้ระบุตัวไม่ได้เพื่อเก็บไว้ใช้ต่อ ถ้าภายหลังพบว่าเป็นกรณีมาตรา 33 (4) วิธีที่เลือกไว้จะขัดกับข้อ 7
ลบ ทำลาย ทำให้ระบุตัวไม่ได้ และกันไว้ไม่ให้ใช้ ต่างกันอย่างไร?
ต่างกันที่ผลทางกฎหมาย การลบหรือทำลายทำให้ข้อมูลไม่เหลืออยู่ การทำให้ระบุตัวไม่ได้ทำให้ข้อมูลที่เหลือไม่ใช่ข้อมูลส่วนบุคคลอีก ส่วนการแฝงข้อมูลและการกันข้อมูลไว้ไม่ให้ใช้ ข้อมูลยังเป็นข้อมูลส่วนบุคคล และหน้าที่ของธนาคารยังอยู่ครบ
| วิธี | ข้อมูลที่เหลือยังเป็นข้อมูลส่วนบุคคลหรือไม่ | ใช้เมื่อไร | ที่มา |
|---|---|---|---|
| ลบหรือทำลาย | ไม่เหลือข้อมูล ต้องครอบคลุมสำเนาและข้อมูลสำรอง และกู้คืนไม่ได้ด้วยวิธีที่คาดหมายได้ตามสมควร | คำขอตามมาตรา 33 ที่ไม่ได้รับยกเว้น และเป็นทางเดียวในกรณีข้อมูลที่ได้มาโดยไม่ชอบ | ข้อ 3 วรรคหนึ่งและวรรคสอง · ข้อ 7 |
| ทำให้ระบุตัวไม่ได้ (anonymization) | ไม่เป็น ถ้าลบตัวระบุทางตรงครบ และลดโอกาสระบุตัวทางอ้อมให้ต่ำเพียงพอ | ใช้แทนการลบได้ แต่ต้องแจ้งลูกค้า ยกเว้นกรณีตามข้อ 7 | ข้อ 3 วรรคสาม · ข้อ 6 · ข้อ 8 วรรคสอง |
| แฝงข้อมูล (pseudonymization) | ยังเป็น ถ้ายังเก็บตารางจับคู่รหัสไว้ในลักษณะที่เข้าถึงและนำไปใช้ได้ | เป็นขั้นหนึ่งของการลดตัวระบุทางอ้อม ใช้แทนการลบไม่ได้ | มาตรา 6 · ข้อ 6 (2) · ความเห็นคณะอนุกรรมการฯ |
| ทำให้เข้าถึงหรือใช้งานไม่ได้ (put beyond use) | ยังเป็น | มาตรการระหว่างรอ เมื่อลบไม่ทันกำหนด เช่น ข้อมูลรอถูกบันทึกทับ หรืออยู่ใน backup | ข้อ 4 · ความเห็นคณะอนุกรรมการฯ |
ตัดชื่อออกแต่เก็บตารางจับคู่รหัสไว้ ยังเป็นข้อมูลส่วนบุคคล
คณะอนุกรรมการฯ ฝากข้อสังเกตนี้ไว้ท้ายความเห็น ถ้าธนาคารเปลี่ยนเลขหรือรหัสลูกค้าในชุดข้อมูลแล้ว แต่ยังเก็บตารางเชื่อมโยงหรือเทียบข้อมูล (mapping table) ไว้ในลักษณะที่เข้าถึงและนำไปใช้ได้ ข้อมูลชุดนั้นยังโยงกลับถึงตัวลูกค้าได้ จึงเป็นเพียงการแฝงข้อมูล (pseudonymization)
ผลคือข้อมูลชุดนั้นยังเป็นข้อมูลส่วนบุคคลตามบทนิยามในมาตรา 6 ประกอบข้อ 6 ของประกาศฯ ธนาคารที่ตอบลูกค้าว่าทำให้ระบุตัวไม่ได้แล้ว ทั้งที่ตารางจับคู่ยังเปิดใช้ได้ จึงยังไม่ได้ทำตามคำขอ
“ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
ตัวระบุทางตรงที่ต้องเอาออกก่อนมีมากกว่าชื่อและเลขบัตรประชาชน ข้อ 6 (1) ของประกาศฯ ระบุไว้ 10 รายการ ตั้งแต่ (ก) ถึง (ญ) รายการที่ตรงกับงานธนาคารที่สุดคือ (ค)
(ค) เลขที่ หมายเลข หรือรหัสสมาชิก ลูกค้า ผู้รับบริการ หรือบุคลากร ตลอดจนเลขที่ หมายเลข หรือรหัสของบัญชี สัญญา หรือสิ่งอื่นใดที่เป็นของเฉพาะตัวของบุคคล
เลขบัญชี เลขที่สัญญาสินเชื่อ และรหัสลูกค้า จึงต้องถูกลบหรือเอาออกด้วย จากนั้นข้อ 6 (2) ยังให้ดูตัวระบุทางอ้อม เช่น วันเดือนปีเกิด อายุ ตำแหน่งงาน ที่อยู่ หรือเลข IP จนโอกาสระบุตัวต่ำเพียงพอ โดยคำนึงถึงความเสี่ยง แรงจูงใจ และความสามารถของคนที่อาจอยากย้อนกลับไประบุตัว
ตรงกับข้อสังเกตของคณะอนุกรรมการฯ เรื่อง mapping table เป็นเพียงการแฝงข้อมูล ยังไม่ถือว่าทำตามคำขอ
ทำครบข้อ 6 (1) แล้ว แต่ยังต้องผ่านข้อ 6 (2) ตัวระบุทางอ้อมหลายตัวรวมกันอาจชี้กลับถึงตัวลูกค้าได้
การอ่านของเรา: เมื่อไม่เหลือทางโยงกลับและข้อมูลถูกรวมเป็นกลุ่ม โอกาสระบุตัวลดลงมาก แต่ธนาคารควรบันทึกเหตุผลที่ประเมินว่าต่ำเพียงพอไว้ด้วย
เป็นกรณีมาตรา 33 (4) ข้อ 7 ของประกาศฯ ไม่ยอมให้ใช้การทำให้ระบุตัวไม่ได้แทน
ข้อมูลติดอยู่ใน backup หรือผูกกับบันทึกอื่น ลบไม่ทันทำอย่างไร?
ต้องกันข้อมูลนั้นไว้ไม่ให้ใครใช้ จนกว่าจะลบได้ ประกาศฯ ข้อ 3 วรรคสองกำหนดให้การลบครอบคลุมสำเนาและข้อมูลสำรองด้วย ธนาคารจะตอบลูกค้าว่าลบเสร็จแล้วไม่ได้ ถ้าข้อมูลยังอยู่ในเทปสำรองหรือฐานข้อมูลสำเนา
การดำเนินการตามวรรคหนึ่ง จะต้องดำเนินการให้ครอบคลุมถึงข้อมูลส่วนบุคคลที่ทำสำเนาหรือสำรองไว้ด้วย (ถ้ามี) และจะต้องทำให้แน่ใจว่าไม่มีผู้ใดสามารถกระทำการด้วยวิธีการใด ๆ ที่อาจคาดหมายได้ตามสมควร เพื่อกู้คืนข้อมูลส่วนบุคคลหรือทำให้ข้อมูลนั้นย้อนกลับมาสามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ไม่ว่าทางตรงหรือทางอ้อม
คำถามข้อ 4 ของสมาคมฯ ตรงกับปัญหานี้ ถ้าลบข้อมูลของคนหนึ่งแล้วกระทบข้อมูลคนอื่นในไฟล์แบบ row-based หรือ column-based จะทำให้ข้อมูลเข้าถึงหรือใช้งานไม่ได้แทนได้หรือไม่ คณะอนุกรรมการฯ ตอบว่าได้ ถ้ามีเหตุจำเป็นจากข้อจำกัดทางเทคนิคหรือความเป็นไปได้ในทางปฏิบัติ แต่ใช้ระหว่างที่ยังลบไม่ได้เท่านั้น
ความเห็นชี้ว่าหลักนี้มาจากข้อ 4 ของประกาศฯ และยกตัวอย่างไว้สองแบบ แบบแรกคือข้อมูลอิเล็กทรอนิกส์ที่ค้างในอุปกรณ์จัดเก็บระหว่างรอถูกบันทึกทับ แบบที่สองคือข้อมูลที่สำรองไว้ ทั้งในรูปเอกสารและไฟล์อิเล็กทรอนิกส์ ที่ลบทันทีไม่ได้ด้วยเหตุผลทางเทคนิค
ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำให้ข้อมูลส่วนบุคคลนั้นอยู่ในรูปแบบที่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเป็นไปได้ยาก จนกว่าจะดำเนินการตามข้อ 3 แล้วเสร็จ
ระหว่างรอ ธนาคารต้องมีมาตรการเชิงองค์กรและเชิงเทคนิค รวมถึงมาตรการทางกายภาพถ้าจำเป็น ให้ได้ผลครบห้าข้อตามข้อ 4 (1) ถึง (5) ของประกาศฯ ซึ่งเขียนเป็นงานที่ต้องทำได้ดังนี้
- ธนาคารและผู้ประมวลผลที่เกี่ยวข้องไม่มีเจตนาจะเปิดดู ใช้ หรือเปิดเผยข้อมูลนั้นอีก แม้ข้อมูลยังอยู่
- ข้อมูลนั้นถูกนำไปใช้ให้บริการหรือใช้ตัดสินใจเรื่องใดเกี่ยวกับลูกค้าไม่ได้ ตัวอย่างของเราคือ ไม่ถูกดึงเข้าแบบจำลองคะแนนสินเชื่อหรือรายชื่อเสนอขาย
- ป้องกันไม่ให้ผู้ใดเข้าถึง ใช้ หรือเปิดเผยข้อมูลนั้นได้
- มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะกับระดับความเสี่ยง
- ลบ ทำลาย หรือทำให้ระบุตัวไม่ได้โดยไม่ชักช้า ทันทีที่ทำได้
ข้อมูลที่ธนาคารต้องเก็บตามกฎหมายอื่น ปฏิเสธคำขอลบได้แค่ไหน?
ปฏิเสธได้เฉพาะส่วนที่เข้าข้อยกเว้นในมาตรา 33 วรรคสอง หรือมีเหตุผลความจำเป็นที่สำคัญตามข้อ 5 ของประกาศฯ และธนาคารต้องพิสูจน์เหตุนั้นเอง ข้อยกเว้นที่ใกล้ตัวธนาคารที่สุดคือ การเก็บไว้เพื่อปฏิบัติตามกฎหมาย และการใช้เพื่อก่อตั้ง ใช้ หรือต่อสู้สิทธิเรียกร้องตามกฎหมาย
ความในวรรคหนึ่งมิให้นำมาใช้บังคับกับการเก็บรักษาไว้เพื่อวัตถุประสงค์ในการใช้เสรีภาพในการแสดงความคิดเห็น การเก็บรักษาไว้เพื่อวัตถุประสงค์ตามมาตรา 24 (1) หรือ (4) หรือมาตรา 26 (5) (ก) หรือ (ข) การใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย
คณะอนุกรรมการฯ ยกตัวอย่างข้อมูลที่ต้องเก็บไว้เพื่อปฏิบัติตามกฎหมายอื่น ได้แก่ หน้าที่ทางบัญชีเพื่อการตรวจสอบบัญชี ประมวลรัษฎากรหรือกฎหมายภาษีอากร กฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงิน กฎหมายว่าด้วยธนาคารแห่งประเทศไทย และกฎหมายว่าด้วยธุรกิจสถาบันการเงิน ถ้าลบไป ข้อมูลอาจไม่ครบ ธนาคารอาจต้องรับผิด หรือไม่มีหลักฐานใช้ในคดี
ความเห็นไม่ได้บอกว่ากฎหมายแต่ละฉบับให้เก็บกี่ปี ระยะเวลาจึงต้องดูจากตัวกฎหมายนั้นและประกาศของหน่วยงานกำกับ แล้วเขียนลงตารางระยะเวลาเก็บของธนาคาร ส่วนที่เกินระยะเวลาหรือเกินความจำเป็นยังต้องลบ วิธีทำตารางให้ผู้ตรวจรับ อ่านได้ที่ตารางเก็บข้อมูลกี่ปี ทำอย่างไรให้ผู้ตรวจรับ
เหตุผลความจำเป็นที่สำคัญตามข้อ 5 ต้องชั่งน้ำหนักให้ได้สัดส่วน
ความในข้อ 3 มิให้นำมาใช้บังคับกับข้อมูลส่วนบุคคลที่ไม่อาจลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ เนื่องจากเหตุผลความจำเป็นที่สำคัญ เช่น กรณีที่การลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้นั้น อาจส่งผลกระทบในทางลบต่อสิทธิในข้อมูลส่วนบุคคลหรือประโยชน์ของบุคคลอื่น ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่แจ้งให้เจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิทราบพร้อมชี้แจงหรือแสดงให้เห็นถึงเหตุผลความจำเป็นที่สำคัญดังกล่าวแก่เจ้าของข้อมูลส่วนบุคคลด้วย
คณะอนุกรรมการฯ อธิบายว่าเหตุผลความจำเป็นอาจมาจากทางกฎหมาย ทางสังคม หรือทางเทคนิค ตัวอย่างทางเทคนิคคือ บันทึกทางการเงินที่เชื่อมโยงกัน (linked financial records) หรือข้อมูลสำรองที่ลบแล้วกระทบข้อมูลส่วนอื่นหรือการทำงานของระบบ แต่ต้องชั่งตามหลักความได้สัดส่วน ระหว่างสิทธิของลูกค้ากับสิทธิของผู้อื่นและประโยชน์สาธารณะ
ภาระพิสูจน์อยู่ที่ธนาคาร ต้องแสดงให้เห็นว่าการลบจะกระทบสิทธิหรือประโยชน์ของผู้อื่นอย่างไร โดยคำนึงถึงความถูกต้องและความครบถ้วนของข้อมูลประกอบด้วย คำอธิบายว่า “ระบบเก่าลบไม่ได้” อย่างเดียวจึงไม่พอ
อีกตัวอย่างในความเห็นคือ ข้อมูลที่เก็บเพื่อจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะตามมาตรา 24 (1) ถ้าลบไป บันทึกเหตุการณ์สำคัญอาจคลาดเคลื่อนหรือขาดช่วง
ได้รับคำขอลบแล้ว ธนาคารควรตัดสินใจตามลำดับไหน?
ความเห็นวางลำดับไว้ว่า ขั้นแรกให้ดูว่าคำขอเข้ากรณีใดในมาตรา 33 วรรคหนึ่ง (1) ถึง (4) และได้รับยกเว้นตามวรรคสองหรือไม่ จากนั้นจึงทำตามประกาศฯ ปี 2567 ส่วนที่เกี่ยวข้อง ตารางด้านล่างเป็นการอ่านของเราจากตัวบทและความเห็นนี้
| สถานการณ์ | ธนาคารทำอะไร | อ้างอิง |
|---|---|---|
| ข้อมูลหมดความจำเป็น ลูกค้าถอนความยินยอม หรือคัดค้านแล้วธนาคารปฏิเสธไม่ได้ และไม่มีข้อยกเว้น | ลบ ทำลาย หรือทำให้ระบุตัวไม่ได้ ภายใน 90 วันนับแต่วันได้รับคำขอ ครอบคลุมสำเนาและ backup | มาตรา 33 (1) (2) (3) · ข้อ 3 |
| ลูกค้าขอให้ลบ แต่ธนาคารอยากเก็บข้อมูลแบบระบุตัวไม่ได้ไว้ทำสถิติ | ทำให้ระบุตัวไม่ได้ครบทั้งตัวระบุทางตรงและทางอ้อม แล้วแจ้งลูกค้าพร้อมรายละเอียดตามสมควร | ข้อ 3 วรรคสาม · ข้อ 6 · ข้อ 8 วรรคสอง |
| ข้อมูลถูกเก็บ ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมาย | ลบหรือทำลายเท่านั้น | มาตรา 33 (4) · ข้อ 7 |
| ข้อมูลต้องเก็บตามกฎหมายบัญชี ภาษี การฟอกเงิน หรือกฎหมายสถาบันการเงิน | เก็บเฉพาะส่วนที่กฎหมายนั้นสั่ง ลบส่วนที่เหลือ แจ้งลูกค้าพร้อมเหตุผลของส่วนที่ลบไม่ได้ | มาตรา 33 วรรคสอง · ข้อ 8 วรรคสาม |
| ข้อมูลเป็นหลักฐานในข้อพิพาทที่มีอยู่หรือคาดได้ | เก็บเท่าที่จำเป็นต่อสิทธิเรียกร้อง และบันทึกเหตุผลไว้ | มาตรา 33 วรรคสอง |
| ลบแล้วกระทบบันทึกทางการเงินที่เชื่อมกับลูกค้าคนอื่น | อ้างเหตุผลความจำเป็นที่สำคัญได้ถ้าพิสูจน์ได้ และชี้แจงเหตุผลแก่ลูกค้า | ข้อ 5 |
| ข้อมูลค้างใน backup หรือรอถูกบันทึกทับ ลบไม่ทัน 90 วัน | กันไว้ไม่ให้ใช้ตามเกณฑ์ห้าข้อ แล้วลบทันทีที่ทำได้ | ข้อ 4 |
| ธนาคารล้างข้อมูลที่ครบกำหนดเก็บเอง โดยไม่มีคำขอ | ลบผ่านระบบตรวจสอบตามมาตรา 37 (3) ไม่ต้องแจ้งลูกค้า | มาตรา 37 (3) · ข้อ 9 |
- วันที่ได้รับคำขอจดวันรับคำขอไว้ เพราะเพดาน 90 วันนับจากวันนี้ข้อ 3 วรรคหนึ่ง
- ขั้นแรกดูว่าคำขอเข้ากรณีใดในมาตรา 33 (1) ถึง (4) และมีข้อยกเว้นตามวรรคสองหรือเหตุผลความจำเป็นที่สำคัญหรือไม่มาตรา 33 · ข้อ 5
- เลือกวิธีลบ ทำลาย หรือทำให้ระบุตัวไม่ได้ ถ้าข้อมูลได้มาโดยไม่ชอบ ต้องลบหรือทำลายเท่านั้นข้อ 3 วรรคสาม · ข้อ 7
- ไม่เกินวันที่ 90ทำให้เสร็จทั้งระบบหลัก สำเนา และ backup ส่วนที่ยังลบไม่ได้ให้กันไว้ไม่ให้ใช้ข้อ 3 วรรคสอง · ข้อ 4
- เมื่อเสร็จหรือทำไม่ได้แจ้งลูกค้า ถ้าทำให้ระบุตัวไม่ได้ แจ้งรายละเอียดตามสมควร ถ้าทำไม่ได้ แจ้งพร้อมเหตุผลข้อ 8
สคส. แนะให้คู่มือลบข้อมูลของธนาคารมีอะไรเพิ่ม?
คณะอนุกรรมการฯ เห็นว่าร่างคู่มือของสมาคมฯ บอกเพียงประเภทข้อมูลที่อาจเข้าข้อยกเว้น จึงแนะให้พิจารณาเพิ่มรายละเอียดหกเรื่อง เพื่อให้การลบเป็นไปตามเงื่อนไขของกฎหมายและตรวจสอบย้อนหลังได้
- ตารางระยะเวลาเก็บรักษาข้อมูล (data retention schedule) ที่เหมาะสม
- การควบคุมเชิงปฏิบัติการ เช่น ขั้นตอนอนุมัติก่อนลบ และรายการตรวจสอบที่บอกว่าข้อมูลส่วนใดต้องเก็บนานเท่าใด และตรวจครั้งล่าสุดเมื่อไร
- วิธีดูแลสื่อบันทึกและอุปกรณ์ที่รอลบ เช่น ที่เก็บระหว่างรอ มาตรการความปลอดภัยระหว่างรอ ทะเบียนคุมอุปกรณ์ และสถานที่เก็บที่ระบุชัด
- วิธีลบข้อมูลในฮาร์ดแวร์ให้ชัดขึ้น เช่น การล้างข้อมูลในอุปกรณ์ (device wiping) การล้างสนามแม่เหล็ก (degaussing) หรือการบดทำลายฮาร์ดแวร์
- ข้อกำหนดสำหรับผู้ให้บริการภายนอกที่รับจ้างลบหรือทำลาย และอาจกำหนดให้ออกหนังสือรับรองการทำลาย (certificate of destruction) เป็นรายครั้ง
- มาตรฐานเครื่องย่อยเอกสารกระดาษ เช่น แบบ cross-cut หรือ micro-cut เพื่อไม่ให้นำเศษกลับมาเรียงต่อได้
วิธีทางเทคนิคให้เลือกตามหลักบริหารความเสี่ยง โดยดูประเภทข้อมูล ชนิดของสื่อบันทึก และวิธีเก็บบันทึก วิธีที่เลือกต้องครอบคลุมสำเนาและข้อมูลสำรอง และต้องกันไม่ให้ใครกู้คืนหรือย้อนกลับไประบุตัวได้ ไม่ว่าทางตรงหรือทางอ้อม
ความเห็นนี้ผูกพันธนาคารแค่ไหน และธุรกิจอื่นใช้ได้หรือไม่?
คณะอนุกรรมการฯ เขียนไว้เองว่าความเห็นและข้อสังเกตไม่ได้รับรองว่าการปฏิบัติทั้งหมดชอบด้วยกฎหมายในทุกกรณี แต่เป็นข้อเสนอแนะในบางประเด็น ที่สมาคมฯ และสถาบันการเงินนำไปประกอบการทำคู่มือ แนวปฏิบัติ หรือมาตรฐานต่อได้
ส่วนที่ผูกพันจริงคือ PDPA และประกาศฯ ปี 2567 ที่ความเห็นอ้างถึง ลูกค้าที่เห็นว่าธนาคารหรือผู้ประมวลผลไม่ทำตามกฎหมาย ยังมีสิทธิร้องเรียนตามขั้นตอนที่กฎหมายกำหนด ความเห็นนี้จึงช่วยให้อ่านประกาศฯ ได้ชัดขึ้น แต่ไม่ได้ตัดสิทธิของลูกค้า
ในการอ่านของเรา ฟินเทค บริษัทประกัน และธุรกิจที่มีฐานข้อมูลลูกค้าขนาดใหญ่ ใช้ข้อสังเกตเรื่อง backup ตารางจับคู่รหัส และมาตรการระหว่างรอได้เหมือนกัน เพราะประกาศฯ ใช้กับผู้ควบคุมข้อมูลทุกราย แต่ตัวอย่างกฎหมายเฉพาะธุรกิจการเงินใช้กับผู้ที่อยู่ใต้กฎหมายนั้นเท่านั้น
ธุรกิจที่ต้องเก็บ log ตามกฎหมายอื่นด้วย อ่านต่อได้ที่ลูกค้าขอลบ แต่กฎหมายสั่งเก็บ log 90 วัน
คำถามที่พบบ่อย
ลูกค้าขอลบข้อมูล ธนาคารต้องทำให้เสร็จภายในกี่วัน?
โดยไม่ชักช้า แต่ไม่เกิน 90 วันนับแต่วันที่ได้รับคำขอ ตามข้อ 3 ของประกาศฯ ปี 2567 ถ้าคำขอนั้นไม่เข้าข้อยกเว้นตามมาตรา 33 วรรคสอง ส่วนที่ลบไม่ทันด้วยเหตุผลทางเทคนิค ต้องกันไว้ไม่ให้ใช้ตามข้อ 4
ปิดบัญชีแล้ว ขอให้ธนาคารลบข้อมูลทั้งหมดได้หรือไม่?
ขอได้ แต่ธนาคารอาจเก็บบางส่วนต่อเพื่อปฏิบัติตามกฎหมายอื่น เช่น กฎหมายบัญชี ภาษี หรือการป้องกันและปราบปรามการฟอกเงิน หรือเพื่อใช้เป็นหลักฐานในข้อพิพาท ส่วนที่เกินจากนั้นต้องลบ และธนาคารต้องแจ้งเหตุผลของส่วนที่ลบไม่ได้
ธนาคารทำให้ข้อมูลระบุตัวไม่ได้แทนการลบ ต้องแจ้งลูกค้าหรือไม่?
ต้องแจ้ง ข้อ 3 วรรคสามให้แจ้งเมื่อใช้วิธีต่างจากที่ลูกค้าขอ และข้อ 8 วรรคสองให้แจ้งรายละเอียดการทำให้ระบุตัวไม่ได้ตามสมควร เว้นแต่ลูกค้ารู้อยู่แล้ว
เข้ารหัสข้อมูลแล้วเก็บไว้ ถือว่าลบแล้วหรือไม่?
ความเห็นไม่ได้พูดถึงการเข้ารหัสโดยตรง ในการอ่านของเรา ถ้าธนาคารยังถือกุญแจถอดรหัส ข้อมูลยังโยงกลับถึงตัวลูกค้าได้ เช่นเดียวกับตารางจับคู่รหัสที่คณะอนุกรรมการฯ ยกไว้ จึงยังไม่ใช่การลบหรือการทำให้ระบุตัวไม่ได้
ธนาคารลบข้อมูลที่ครบกำหนดเก็บเอง ต้องแจ้งลูกค้าหรือไม่?
ไม่ต้อง คณะอนุกรรมการฯ เห็นว่าการลบตามมาตรา 37 (3) ที่ไม่ได้มาจากคำขอของลูกค้า ผู้ควบคุมข้อมูลไม่มีหน้าที่แจ้งเจ้าของข้อมูล แต่ยังต้องลบให้ครอบคลุมสำเนาและ backup ตามข้อ 9 ของประกาศฯ
เครื่องย่อยกระดาษต้องเป็นแบบไหน?
คณะอนุกรรมการฯ แนะให้คู่มือของสมาคมฯ กำหนดมาตรฐานเครื่องย่อยเอกสาร เช่น แบบ cross-cut หรือ micro-cut เพื่อไม่ให้นำเศษกลับมาเรียงต่อได้ เป็นข้อเสนอแนะต่อร่างคู่มือ ประกาศฯ ไม่ได้กำหนดชนิดเครื่องไว้
อ่านจบแล้ว ทำต่อให้เสร็จได้เลย
เปิดบัญชีตัวอย่างดูระบบ AIPDPA ของจริงกับข้อมูลบริษัทสมมติ ทั้งทะเบียน RoPA เหตุละเมิด 72 ชั่วโมง คำขอใช้สิทธิ คุกกี้แบนเนอร์ และเอกสารพร้อมใช้ ครบในระบบเดียว
เริ่มต้น 2,900 บาท/ปี (11 โมดูล) · ครบ 24 โมดูลตั้งแต่ ENTERPRISE 19,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
ไม่มีเวลาทำเอง ให้ทีมทนายดูแลให้ →ทีมทนายความ Kooru วางระบบและเป็น DPO ให้
ตัวบทและแหล่งอ้างอิง
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 — ข้อ 3 · 4 · 5 · 6 · 7 · 8 · 9
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 6 · 24 (1) (4) · 33 · 37 (3)
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)