ลูกค้าขอลบข้อมูล แต่กฎหมายสั่งเก็บ log 90 วัน ต้องทำอย่างไร

สมมติว่าบริษัทของคุณเปิดแพลตฟอร์มออนไลน์ให้ลูกค้าล็อกอินเข้ามาใช้งาน เช้าวันจันทร์มีลูกค้ารายหนึ่งปิดบัญชี แล้วอีเมลมาว่า “ขอให้ลบข้อมูลของฉันทั้งหมดตาม PDPA มาตรา 33”

ฝ่ายบริการลูกค้าส่งเรื่องต่อให้ไอที ไอทีตอบสั้น ๆ ว่า “ลบ log ไม่ได้ พ.ร.บ.คอมฯ บังคับให้เก็บ 90 วัน” จากนั้นเรื่องก็ค้างอยู่อย่างนั้นสามสัปดาห์

ความจริงทั้งสองฝ่ายถูกคนละครึ่ง และผิดได้ทั้งสองทาง ถ้าลบทั้งหมด อาจลบข้อมูลที่ผู้ให้บริการต้องเก็บตามมาตรา 26 แห่งพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 ซึ่งมีโทษปรับไม่เกิน 500,000 บาท

แต่ถ้าปฏิเสธทั้งบัญชีโดยอ้าง พ.ร.บ.คอมฯ ข้อมูลที่ไม่เกี่ยวกับ log เลยก็จะค้างอยู่ในระบบนานเกินกว่าที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) อนุญาต

ทางที่ถูกคือแยกข้อมูลของลูกค้ารายนั้นออกเป็นส่วน ๆ แล้วตอบทีละส่วนว่า มีกฎหมายใดสั่งให้เก็บ ต้องเก็บถึงวันไหน และเมื่อครบกำหนดแล้วระบบใดเป็นตัวลบ

ลูกค้าขอลบ แต่ พ.ร.บ.คอมฯ สั่งให้เก็บ ต้องทำตามฉบับไหน?

ข้อมูลจราจรทางคอมพิวเตอร์ที่ต้องเก็บตามมาตรา 26 ยังลบไม่ได้ แม้ลูกค้าจะขอ แต่ใช้ได้เฉพาะข้อมูลส่วนนั้น และเฉพาะช่วงที่กฎหมายสั่งให้เก็บ เหตุผลอยู่ใน PDPA เอง คือมาตรา 33 วรรคสองยกเว้นสิทธิขอลบไว้สำหรับการเก็บรักษา “เพื่อการปฏิบัติตามกฎหมาย”

ข้อยกเว้นในมาตรา 33 วรรคสองผูกกับวัตถุประสงค์ของการเก็บ ไม่ได้ผูกกับตัวบุคคล คำขอฉบับเดียวจากลูกค้าคนเดียวจึงแยกได้เป็นสองกอง คือข้อมูลที่ต้องลบ กับข้อมูลที่ยังลบไม่ได้ และเมื่อเหตุที่ต้องเก็บหมดไป ข้อยกเว้นก็หมดไปด้วย

ฝั่ง พ.ร.บ.คอมพิวเตอร์ฯ มาตรา 26 ใช้คำว่า “ไม่น้อยกว่า” เก้าสิบวัน ตัวเลขนี้จึงเป็นระยะขั้นต่ำ ไม่ใช่ระยะสูงสุด กฎหมายคอมฯ ไม่ได้บอกว่าต้องลบเมื่อไร เรื่องนี้ PDPA มาตรา 37 (3) เป็นผู้กำหนด

“ข้อมูลจราจรทางคอมพิวเตอร์” คืออะไร และธุรกิจของคุณเป็น “ผู้ให้บริการ” หรือไม่?

ข้อมูลจราจรทางคอมพิวเตอร์คือข้อมูลที่บอกว่าการติดต่อสื่อสารมาจากไหน ไปที่ไหน เมื่อไร นานเท่าไร และใช้บริการประเภทใด โดยไม่รวมเนื้อหาที่สื่อสารกัน มาตรา 3 แห่ง พ.ร.บ.คอมพิวเตอร์ฯ ให้นิยามไว้ดังนี้

ในทางปฏิบัติ ข้อมูลตามนิยามนี้มักอยู่ใน log ของเว็บเซิร์ฟเวอร์ ไฟร์วอลล์ VPN และระบบยืนยันตัวตน เช่น IP ต้นทาง เวลาเชื่อมต่อ ปลายทาง และประเภทบริการ

ส่วนชื่อ ที่อยู่จัดส่ง ประวัติการซื้อ หรือกลุ่มความสนใจทางการตลาด ไม่ใช่ข้อมูลจราจรตามมาตรา 3 แม้จะเก็บอยู่ในฐานข้อมูลเดียวกัน เส้นแบ่งตรงนี้สำคัญที่สุดเวลาตอบคำขอลบ

คำถามต่อมาคือ ธุรกิจของคุณเป็นผู้ให้บริการหรือไม่ มาตรา 3 แบ่งผู้ให้บริการไว้สองประเภท

นิยามนี้กว้างมาก แต่ไม่ได้แปลว่าทุกรายต้องเก็บข้อมูลจราจรตามมาตรา 26 วรรคหนึ่ง เพราะมาตรา 26 วรรคสามให้ประกาศรัฐมนตรีในราชกิจจานุเบกษาเป็นตัวกำหนดว่าใช้กับผู้ให้บริการประเภทใด อย่างไร และตั้งแต่เมื่อใด

ประกาศรัฐมนตรีฉบับนั้นยังไม่อยู่ในคลังกฎหมายที่บทความนี้ใช้อ้างอิง ก่อนสรุปว่าองค์กรต้องเก็บหรือไม่ ควรเปิดประกาศดูเทียบกับบริการที่เปิดให้คนภายนอกใช้ ส่วนข้อมูลที่ใช้ระบุตัวผู้ใช้บริการ มาตรา 26 วรรคสองให้นับระยะเก็บต่างออกไป

PDPA ยอมให้ปฏิเสธคำขอลบได้แค่ไหน?

ปฏิเสธได้เฉพาะข้อมูลที่ยังต้องเก็บไว้เพื่อปฏิบัติตามกฎหมาย และต้องแจ้งเหตุผลให้ผู้ขอทราบ ข้อมูลที่เหลือต้องลบภายในกำหนดเวลาของประกาศปี 2567 ไม่มีข้อต่อรอง

มาตรา 33 วรรคหนึ่งของ PDPA ให้สิทธิขอลบไว้ 4 กรณี กรณีที่เจอบ่อยหลังลูกค้าปิดบัญชีคือ (1) ข้อมูลหมดความจำเป็นตามวัตถุประสงค์ และ (2) เจ้าของข้อมูลถอนความยินยอม และผู้ควบคุมข้อมูลส่วนบุคคลไม่มีอำนาจตามกฎหมายที่จะเก็บต่อ

เมื่อเข้ากรณีใดกรณีหนึ่งและไม่เข้าข้อยกเว้นในวรรคสอง ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลายฯ พ.ศ. 2567 กำหนดเส้นตายไว้ชัดเจน

ประกาศฉบับเดียวกันยังพูดถึงเรื่องที่องค์กรมักลืม คือข้อมูลสำรอง ข้อ 3 วรรคสองกำหนดให้การลบครอบคลุมถึงสำเนาและข้อมูลสำรอง และต้องแน่ใจว่าไม่มีใครกู้ข้อมูลคืนได้ด้วยวิธีที่คาดหมายได้ตามสมควร

ถ้าระบบสำรองข้อมูลลบเฉพาะรายบุคคลไม่ได้ในทันที ข้อ 4 ให้ทำข้อมูลนั้นให้เก็บ ใช้ หรือเปิดเผยได้ยาก ห้ามนำไปใช้ตัดสินใจใด ๆ เกี่ยวกับเจ้าของข้อมูล และลบเมื่อทำได้โดยไม่ชักช้า

ส่วนข้อมูลที่ยังลบไม่ได้เพราะอยู่ในช่วงที่กฎหมายสั่งให้เก็บ องค์กรจะเงียบไม่ได้ ข้อ 8 วรรคสามของประกาศปี 2567 กำหนดหน้าที่แจ้งไว้โดยตรง

ข้อมูลแต่ละประเภท กฎหมายไหนสั่งเก็บ กฎหมายไหนสั่งลบ?

ตารางด้านล่างแยกข้อมูลที่มักอยู่ในบัญชีลูกค้าหนึ่งรายออกเป็นหกประเภท ระยะเวลาทุกช่องมาจากตัวบท ช่องไหนที่ตัวบทไม่ได้กำหนดจำนวนวัน เราเขียนไว้ตรง ๆ ว่าไม่ได้กำหนด ไม่เดาตัวเลขให้

แถวที่ห้าน่าสนใจ เพราะ log ที่มีไว้คุ้มครองข้อมูลกลับเป็นข้อมูลส่วนบุคคลเสียเอง บันทึกว่าพนักงานคนไหนเปิดดูข้อมูลลูกค้ารายใดเมื่อไร มีทั้งชื่อพนักงานและรหัสลูกค้าอยู่ในบรรทัดเดียวกัน

ประกาศปี 2565 บังคับให้มีบันทึกนี้ แต่ไม่ได้กำหนดว่าต้องเก็บนานเท่าไร องค์กรจึงต้องกำหนดระยะเอง และอธิบายเหตุผลได้

พ้น 90 วันแล้ว ต้องลบ log ทันทีไหม?

ไม่จำเป็นต้องลบในวันที่ 91 พอดี แต่องค์กรต้องกำหนดวันสิ้นสุดไว้ และลบจริงเมื่อถึงวันนั้น มาตรา 37 (3) ของ PDPA ไม่ได้ให้ลบเฉพาะเมื่อมีคนขอ แต่ให้มีระบบตรวจสอบเพื่อลบเมื่อพ้นระยะเก็บด้วย

องค์กรเก็บ log นานกว่า 90 วันได้ ถ้ามีวัตถุประสงค์และฐานทางกฎหมายที่อธิบายได้ เช่น ใช้สืบสวนเหตุด้านความปลอดภัย

แต่มีจุดที่มักถูกมองข้าม ถ้าไม่มีกฎหมายหรือคำสั่งพนักงานเจ้าหน้าที่ให้เก็บนานกว่าขั้นต่ำ ช่วงที่เก็บเกินมาจะอ้างข้อยกเว้น “เพื่อการปฏิบัติตามกฎหมาย” ได้ยาก และข้อยกเว้นในมาตรา 33 วรรคสองก็ระบุแค่มาตรา 24 (1) หรือ (4) ไม่มีมาตรา 24 (5) เรื่องประโยชน์โดยชอบด้วยกฎหมาย คำขอลบที่เข้ามาในช่วงนั้นจึงต้องพิจารณาใหม่ทั้งหมด

ระบบจำนวนมากพลาดตรงนี้ คือตั้งให้เก็บ log ไว้ตลอดเพราะพื้นที่จัดเก็บราคาถูก และไม่มีใครถามว่าเก็บไว้ทำไม log ที่เก็บเกินระยะโดยไม่มีเหตุผลคือข้อมูลส่วนบุคคลที่เกินความจำเป็นตามมาตรา 37 (3) และถ้าวันหนึ่งข้อมูลรั่วไหล ก็จะเป็นข้อมูลก้อนใหญ่ที่ไม่ควรมีอยู่ตั้งแต่แรก

วางระบบเก็บ log อย่างไรให้ถูกทั้งสองฉบับ?

หลักคือแยกที่เก็บตามเหตุผลทางกฎหมาย ไม่ใช่ตามความสะดวกของระบบ เมื่อที่เก็บแต่ละแห่งมีกฎหมายกำกับชัดเจน การตอบคำขอลบก็ไม่ต้องถกเถียงกันในที่ประชุม แค่เปิดตารางดู

1. แยก log ข้อมูลจราจรออกจากฐานข้อมูลโปรไฟล์ เก็บไว้คนละที่ และอ้างถึงลูกค้าด้วยรหัสผู้ใช้แทนชื่อหรืออีเมล เมื่อลบโปรไฟล์แล้ว log ยังใช้ตามมาตรา 26 ได้ โดยไม่มีข้อมูลโปรไฟล์ค้างอยู่
2. ระบุเหตุผลทางกฎหมายของที่เก็บทุกแห่ง เช่น “พ.ร.บ.คอมฯ ม.26 วรรคหนึ่ง ขั้นต่ำ 90 วัน” หรือ “PDPA ม.24 (3) สัญญา” ทีมจะใช้ป้ายนี้ตัดสินว่าข้อมูลส่วนไหนลบได้และลบเมื่อไร
3. จำกัดสิทธิ์เข้าถึง log ให้เฉพาะคนที่ต้องใช้งาน ตามหลักให้สิทธิเท่าที่จำเป็นในประกาศมาตรการรักษาความมั่นคงปลอดภัยฯ พ.ศ. 2565 ข้อ 4 (6) (ก) และบันทึกไว้ว่าใครเปิดดู
4. ทยอยลบตามอายุของแต่ละรายการ โดยนับจากวันที่รายการนั้นเข้าสู่ระบบ เพราะมาตรา 26 วรรคหนึ่งนับจากวันนั้น ไม่ได้นับจากวันปิดบัญชี
5. นับระยะของข้อมูลระบุตัวผู้ใช้แยกต่างหาก ข้อมูลชุดนี้นับ 90 วันจากวันที่เลิกใช้บริการตามมาตรา 26 วรรคสอง เมื่อลูกค้าปิดบัญชี ให้ตัดโปรไฟล์ให้เหลือเฉพาะข้อมูลที่จำเป็นต่อการระบุตัว แล้วกำหนดวันลบไว้ทันที
6. ทำธงระงับการลบ (legal hold) สำหรับข้อมูลที่พนักงานเจ้าหน้าที่สั่งให้เก็บเกิน 90 วัน ธงต้องผูกกับคำสั่ง มีวันหมดอายุ และไม่ลามไปถึงข้อมูลชุดอื่น
7. ลบให้ถึงข้อมูลสำรอง ตั้งรอบสำรองให้หมุนเวียนจนข้อมูลเก่าถูกเขียนทับ ระหว่างนั้นต้องไม่มีใครดึงชุดสำรองกลับมาใช้กับลูกค้ารายนั้นได้ ตามหลักเกณฑ์ข้อ 4 ของประกาศการลบฯ 2567
8. เขียนระยะเก็บไว้ในบันทึกรายการ มาตรา 39 (4) ให้บันทึกระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล ระยะเก็บ log ต้องอยู่ในนั้นด้วย ไม่ใช่อยู่แค่ในไฟล์ตั้งค่าเซิร์ฟเวอร์

อีกวิธีที่ช่วยลดภาระตั้งแต่ต้นคือไม่เก็บ IP ในที่ที่ไม่จำเป็น ประกาศการลบฯ 2567 ข้อ 6 (2) ยกเลขที่อยู่ไอพีเป็นตัวอย่างของตัวระบุทางอ้อม ทุกที่ที่เก็บ IP จึงเป็นอีกจุดที่ต้องลบเมื่อถึงเวลา ตัวอย่างเช่นบันทึกความยินยอมคุกกี้ ซึ่งแบนเนอร์คุกกี้ของ AIPDPAเก็บโดยไม่มี IP

ตอบลูกค้าที่ขอลบข้อมูลอย่างไร ทีละขั้น?

ลำดับขั้นด้านล่างใช้กับคำขอลบที่มีข้อมูลจราจรปนอยู่ ขั้นที่กฎหมายกำหนดจะระบุมาตราไว้ ขั้นที่เป็นคำแนะนำของเราจะเขียนกำกับว่าแนะนำ

1. วันที่ 0
   รับคำขอและจดวันที่ได้รับไว้ เพราะกำหนด 90 วันตามข้อ 3 ของประกาศการลบฯ 2567 เริ่มนับจากวันนี้ประกาศการลบฯ 2567 ข้อ 3
2. สัปดาห์แรก (แนะนำ)
   ยืนยันตัวตนผู้ขอ แล้วแยกข้อมูลของเขาตามตารางข้างต้น ว่าส่วนไหนต้องลบ ส่วนไหนยังมีหน้าที่ต้องเก็บตามกฎหมายPDPA ม.33
3. โดยไม่ชักช้า
   ลบหรือทำให้ระบุตัวไม่ได้ สำหรับโปรไฟล์และข้อมูลการตลาด รวมถึงสำเนาและข้อมูลสำรองประกาศการลบฯ 2567 ข้อ 3 วรรคสอง
4. ก่อนครบ 90 วัน
   แจ้งผู้ขอว่าลบอะไรไปแล้ว ส่วนไหนยังลบไม่ได้ พร้อมเหตุผล ตัวบทที่อ้าง และวันที่จะลบประกาศการลบฯ 2567 ข้อ 8
5. เมื่อครบระยะเก็บ log
   ระบบลบ log และข้อมูลระบุตัวผู้ใช้ตามรอบอัตโนมัติ แล้วบันทึกการทำลายเก็บไว้เป็นหลักฐานPDPA ม.37 (3)

ถ้าผู้ขอไม่พอใจเหตุผลที่ถูกปฏิเสธ มาตรา 33 วรรคสี่ให้เจ้าของข้อมูลร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ เพื่อสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการได้ ในขั้นนั้น คำตอบที่อ้างตัวบทชัดและมีวันลบแน่นอน คือหลักฐานที่ดีที่สุดขององค์กร

งานส่วนนี้ AIPDPA ช่วยทำให้เป็นระบบ ทั้งพอร์ทัลรับคำขอที่นับวันครบกำหนดให้ กฎระยะเก็บรักษา และบันทึกการทำลายที่ผูกกับบันทึกรายการตามมาตรา 39 ดูบัญชีตัวอย่าง

ความผิดพลาดที่เจอบ่อย และขัดกับตัวบทข้อไหน

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)