ตารางเก็บข้อมูลกี่ปี ทำอย่างไรให้ผู้ตรวจรับ

เกือบทุกบริษัทที่ทำ PDPA มีประโยค “บริษัทจะเก็บรักษาข้อมูลส่วนบุคคลไว้เท่าที่จำเป็น” อยู่ในนโยบาย ประโยคนี้ถูกต้อง แต่ใช้ตอบผู้ตรวจไม่ได้ พอผู้ตรวจถามว่าใบสมัครของคนที่ไม่ผ่านสัมภาษณ์เก็บไว้กี่เดือน หรือภาพกล้องวงจรปิดหน้าร้านลบรอบละกี่วัน คนในบริษัทมักตอบไม่ตรงกัน

ตารางระยะเวลาเก็บข้อมูล (retention schedule) คือเอกสารที่ปิดช่องว่างนี้ บทความนี้ไล่ตั้งแต่ตัวบทที่บังคับ ลำดับการคิดตัวเลขที่ TDPG วางไว้ ช่องที่แต่ละแถวต้องมี ไปจนถึงวิธีลบเมื่อครบกำหนดตามประกาศปี 2567 ใครทำ RoPA เสร็จแล้วจะต่อยอดได้ทันที เพราะช่องระยะเวลาเก็บในบันทึกรายการก็คือตัวเลขชุดเดียวกัน

กฎหมายบังคับให้มีตารางเก็บข้อมูลหรือไม่?

PDPA ไม่ได้ใช้คำว่า “ตาราง” แต่บังคับให้มีสิ่งที่ตารางทำหน้าที่แทนอยู่สามจุด จุดแรกคือมาตรา 23 (3) ที่ให้แจ้งเจ้าของข้อมูลตั้งแต่ตอนเก็บว่าจะเก็บไว้นานเท่าใด

จุดที่สองคือมาตรา 39 (4) ที่ให้บันทึก “ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล” ไว้ใน RoPA และจุดที่สามซึ่งหนักที่สุดคือมาตรา 37 (3) ที่ไม่ได้ให้แค่เขียนตัวเลข แต่ให้มีระบบคอยตรวจและลบจริง

อ่านมาตรา 37 (3) แล้วจะเห็นว่าคำว่า “เมื่อพ้นกำหนดระยะเวลาการเก็บรักษา” จะมีความหมายก็ต่อเมื่อมีกำหนดให้พ้น ถ้าไม่มีตาราง ระบบตรวจสอบก็ไม่รู้ว่าต้องตรวจอะไร ตารางจึงเป็นจุดตั้งต้นของหน้าที่ตามมาตรานี้ทั้งหมด

เก็บกี่ปีถึงจะพอดี ตั้งตัวเลขจากอะไร?

TDPG 4.0 ซึ่งเป็นแนวปฏิบัติของภาคเอกชน ไม่ใช่กฎหมาย วางลำดับการคิดไว้ในหัวข้อ G7 อย่างเป็นขั้น ข้อดีของการทำตามลำดับนี้คือทุกตัวเลขในตารางจะมีเหตุผลรองรับ ไม่ได้มาจากความรู้สึกว่า “น่าจะพอ”

ขั้นแรกจึงเป็นการไล่หากฎหมายเฉพาะเรื่อง TDPG ยกตัวอย่างไว้ชุดหนึ่ง ตารางข้างล่างคัดมาตามที่ TDPG สรุปไว้ ก่อนใส่ตารางจริงควรเปิดกฎหมายต้นทางอีกครั้ง เพราะคลังของเราไม่มีตัวบทของกฎหมายเหล่านั้นให้ตรวจทานคำต่อคำ

ข้อมูลส่วนใหญ่ของบริษัทไม่มีกฎหมายเฉพาะกำหนดไว้ เช่น ใบสมัครงานของคนที่ไม่ได้รับเลือก รายชื่อลูกค้าที่เลิกซื้อ หรือแชตกับลูกค้า ขั้นที่สองของ TDPG ให้ถามต่อว่าเก็บไว้เพื่อใช้สู้คดีหรือใช้สิทธิเรียกร้องในอนาคตหรือไม่

ตัวเลขในขั้นนี้มาจากอายุความ อายุความที่ PDPA เขียนไว้เองอยู่ในมาตรา 78 วรรคสอง ซึ่ง TDPG ข้อ G7.3 ใช้เป็นเหตุผลในการเก็บหลักฐานการขอความยินยอมต่อไปอีกระยะหนึ่ง แม้เลิกประมวลผลแล้ว

ประโยคท้ายของ G7.2 อย่าอ่านข้าม อายุความเป็นเหตุให้เก็บเฉพาะข้อมูลที่ใช้พิสูจน์ข้อเรียกร้อง ไม่ใช่ใบอนุญาตให้เก็บทั้งแฟ้มไว้สิบปี TDPG เขียนต่อว่าอาจเก็บไว้เพียงข้อมูลพื้นฐาน เช่น ชื่อ ที่อยู่ เบอร์โทร ส่วนที่เหลือควรลบ

ข้อมูลชุดเดียวกัน ระยะเวลาไม่เท่ากันก็ได้

TDPG ข้อ G7.4 ยกตัวอย่างกล้องวงจรปิดไว้ชัด ธนาคารที่ติดกล้องหน้าตู้เอทีเอ็มอาจต้องเก็บภาพหลายสัปดาห์ เพราะธุรกรรมผิดปกติจะรู้ก็ต่อเมื่อลูกค้าเห็นรายการเดินบัญชี ส่วนร้านอาหารเก็บสั้นกว่าได้ เพราะเหตุในร้านมักรู้ทันที แต่ถ้าแจ้งความแล้วต้องเก็บไว้จนตำรวจมารับ

ข้อ G7.5 เพิ่มอีกกรณีที่คนมักลืม เมื่อลูกค้าขอให้หยุดส่งการตลาด บริษัทเก็บข้อมูลไว้พอให้รู้ว่าห้ามส่งหาคนนี้อีกได้ ตารางที่ดีจึงแยกแถวตามวัตถุประสงค์ ไม่ใช่ตามระบบหรือตามแฟ้ม

แถวหนึ่งในตารางต้องมีกี่ช่อง ผู้ตรวจถึงจะรับ?

ตอบสั้น ๆ คือห้าช่อง TDPG ข้อ G8.1 วางหลักไว้ว่าระยะเวลาแต่ละตัวต้องอธิบายเหตุผลได้และบอกฐานทางกฎหมายที่ใช้กำหนดได้

ตัวอย่างตารางของฝ่ายบุคคลใน TDPG ข้อ G9.3 มีคอลัมน์กิจกรรม จุดเริ่มนับ ระยะเวลา การดำเนินการเมื่อพ้นกำหนด ที่มาความจำเป็น และผู้รับผิดชอบ เมื่อนำมาใช้จริง แต่ละช่องควรตอบคำถามเหล่านี้ได้

1. จุดเริ่มนับ นับจากเหตุการณ์อะไร เช่น วันสิ้นสุดสัญญา วันพ้นสภาพพนักงาน วันสิ้นปีบัญชี ไม่ใช่ “นับจากวันที่เก็บ” ทุกแถว
2. ระยะเวลา เป็นตัวเลขพร้อมหน่วย เช่น 90 วัน 2 ปี 10 ปี ไม่ใช่ “ตามความจำเป็น”
3. ที่มาของความจำเป็น ระบุชื่อกฎหมายและมาตรา หรือเขียนว่าอิงอายุความเรื่องอะไร ถ้าเป็นการตัดสินใจทางธุรกิจก็เขียนเหตุผลไว้ตรง ๆ
4. การดำเนินการเมื่อครบ ลบ ทำลาย ทำให้ไม่ระบุตัวตน หรือส่งทบทวน ถ้าทบทวนต้องมีผลลัพธ์ที่เป็นไปได้ไม่เกินสองทาง
5. ผู้รับผิดชอบ ตำแหน่งที่อนุมัติการลบ ไม่ใช่ชื่อแผนกกว้าง ๆ

ช่องจุดเริ่มนับเป็นช่องที่ตารางส่วนใหญ่พลาด สัญญาจ้างที่เขียนว่าเก็บ 10 ปี ถ้าไม่บอกว่านับจากวันเซ็นหรือวันออกจากงาน ตัวเลขจะคลาดกันได้หลายปี และระบบลบอัตโนมัติก็ตั้งค่าไม่ได้

ครบกำหนดแล้วต้องลบอย่างไร ประกาศปี 2567 ว่าอย่างไร?

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่องหลักเกณฑ์การลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ พ.ศ. 2567 มีผลตั้งแต่ 12 พฤศจิกายน 2567 คนส่วนมากอ่านแค่ส่วนที่ว่าด้วยคำขอลบของลูกค้า แต่ข้อ 9 ดึงหลักเกณฑ์ชุดเดียวกันมาใช้กับการลบตามตารางด้วย

ผลในทางปฏิบัติคือ เมื่อแถวใดในตารางครบกำหนด การลบต้องครอบคลุมสำเนาและแบ็กอัปตามข้อ 3 วรรคสอง และถ้าเลือกทำข้อมูลนิรนามแทนการลบ ต้องผ่านเกณฑ์ข้อ 6 คือเอาตัวระบุทางตรงออกก่อน แล้วลดโอกาสระบุตัวจากตัวระบุทางอ้อมให้ต่ำเพียงพอ

ปัญหาที่ฝ่ายไอทีแทบทุกบริษัทเจอคือแบ็กอัปเทปหรือสแนปช็อตที่ลบทีละรายการไม่ได้ ข้อ 4 ของประกาศเดียวกันตอบเรื่องนี้ไว้ และข้อ 9 ก็ให้ใช้กับการลบตามตารางด้วย

ในตารางจึงควรมีหมายเหตุสำหรับแบ็กอัปแยกไว้หนึ่งบรรทัด ว่าแบ็กอัปหมุนรอบกี่วัน ระหว่างรอถูกเขียนทับใครเข้าถึงได้ และห้ามกู้คืนข้อมูลที่ครบกำหนดแล้วกลับมาใช้ ข้อ 4 (1) ถึง (5) วางเงื่อนไขไว้ห้าข้อ ตั้งแต่ไม่มีเจตนาเข้าถึงอีก ไปจนถึงต้องลบจริงเมื่อทำได้

ลูกค้าขอลบก่อนครบกำหนด ตารางช่วยตอบได้อย่างไร?

ถ้าทำตารางไว้ดี เวลามีคนใช้สิทธิตามมาตรา 33 ก็หยิบคำตอบจากตารางได้เลย เพราะมาตรา 33 วรรคสองยกเว้นไว้ให้เก็บต่อได้ในบางกรณี และเหตุผลในช่อง “ที่มา” ของตารางก็คือเหตุยกเว้นเหล่านั้นเอง

แถวที่อ้างกฎหมายบัญชีตอบได้ว่าเป็นการเก็บ “เพื่อการปฏิบัติตามกฎหมาย” แถวที่อ้างอายุความตอบได้ว่าเพื่อสู้สิทธิเรียกร้อง ส่วนแถวที่เขียนเหตุผลว่า “เผื่อใช้” ไม่มีข้อยกเว้นข้อใดรองรับ เมื่อปฏิเสธคำขอ ประกาศปี 2567 ข้อ 8 วรรคสามให้แจ้งเหตุผลแก่ผู้ขอ และมาตรา 39 (7) ให้บันทึกการปฏิเสธไว้ อ่านขั้นตอนเต็มได้ใน ตอบคำขอใช้สิทธิให้ทันกำหนด

ผู้ตรวจจะขอดูอะไร นอกจากตัวตาราง?

ตารางอย่างเดียวพิสูจน์ได้แค่ว่าบริษัทตั้งใจจะลบ มาตรา 37 (3) ใช้คำว่า “ระบบการตรวจสอบ” ผู้ตรวจจึงมักขอดูหลักฐานว่าระบบนั้นทำงานจริง ชุดที่ควรเตรียมไว้มีดังนี้

• ตารางฉบับล่าสุด มีวันที่อนุมัติ ชื่อผู้อนุมัติ และรอบทบทวน TDPG ข้อ G9.6 แนะนำให้ผู้บริหารเป็นผู้อนุมัตินโยบาย
• บันทึกการลบหรือทำลายแต่ละรอบ ว่าลบอะไร จากระบบไหน กี่รายการ ใครอนุมัติ
• ใบรับรองจากผู้รับทำลายเอกสาร ถ้าจ้างบริษัทภายนอกย่อยกระดาษหรือทำลายฮาร์ดดิสก์
• หมายเหตุเรื่องแบ็กอัปตามประกาศปี 2567 ข้อ 4
• ประกาศความเป็นส่วนตัวที่ระยะเวลาเก็บตรงกับตาราง

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)