เก็บข้อมูลจราจรทางคอมพิวเตอร์ (log) กี่วันตาม พ.ร.บ.คอมพิวเตอร์ และเก็บอย่างไร ระยะเก็บข้อมูลจราจรทางคอมพิวเตอร์ขั้นต่ำคือ 90 วันนับแต่วันที่ข้อมูลเข้าสู่ระบบคอมพิวเตอร์ ซึ่งมาตรา 26 แห่ง พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 กำหนดเป็นหน้าที่ของผู้ให้บริการ ในกรณีจำเป็น พนักงานเจ้าหน้าที่สั่งให้เก็บเกิน 90 วันได้แต่ไม่เกิน 2 ปีเป็นรายกรณี และต้องเก็บข้อมูลที่ระบุตัวผู้ใช้บริการไว้ไม่น้อยกว่า 90 วันหลังเลิกใช้บริการ ผู้ไม่ปฏิบัติตามมีโทษปรับไม่เกิน 500,000 บาท
เจ้าของโคเวิร์กกิ้งสเปซแห่งหนึ่งเปิด Wi-Fi ให้สมาชิกใช้ฟรี วันหนึ่งพนักงานเจ้าหน้าที่ขอข้อมูลการใช้งานย้อนหลังสองเดือนเพื่อตามตัวผู้ก่อเหตุออนไลน์ แต่เราเตอร์เก็บ log ไว้แค่เจ็ดวัน และไม่มีใครบอกได้ว่าใครใช้อุปกรณ์เครื่องไหน
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- เก็บข้อมูลจราจรทางคอมพิวเตอร์ไม่น้อยกว่า 90 วันนับแต่วันที่ข้อมูลเข้าสู่ระบบคอมพิวเตอร์
- พนักงานเจ้าหน้าที่สั่งผู้ให้บริการรายใดรายหนึ่งให้เก็บเกิน 90 วันได้ แต่ไม่เกิน 2 ปี เป็นกรณีพิเศษเฉพาะรายและเฉพาะคราว
- ข้อมูลที่ระบุตัวผู้ใช้บริการต้องเก็บตั้งแต่เริ่มใช้บริการ และเก็บต่อไม่น้อยกว่า 90 วันหลังการใช้บริการสิ้นสุด
- ผู้ให้บริการประเภทใดต้องทำ ทำอย่างไร และเมื่อใด ให้เป็นไปตามประกาศของรัฐมนตรีในราชกิจจานุเบกษา
- ไม่ปฏิบัติตามมาตรา 26 มีโทษปรับไม่เกิน 500,000 บาท
ทำตามนี้ 7 ขั้นตอน
ทำตามลำดับ 7 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- ตรวจว่าธุรกิจเป็นผู้ให้บริการที่ต้องเก็บหรือไม่มาตรา 26 วรรคสามให้ประกาศของรัฐมนตรีกำหนดว่าหน้าที่นี้ใช้กับผู้ให้บริการประเภทใด อย่างไร และเมื่อใด ให้อ่านประกาศฉบับนั้นเทียบกับบริการที่คุณเปิดให้คนอื่นใช้
- ทำรายการจุดที่มีคนใช้ระบบของคุณไล่ดูทุกช่องทาง เช่น Wi-Fi สำหรับแขก VPN ระบบอีเมล เว็บไซต์ และแอปที่ให้ผู้ใช้ล็อกอิน เพื่อรู้ว่าต้องเก็บ log จากระบบไหนบ้าง
- เปิดการเก็บ log ให้ครบและเวลาตรงกันแนวปฏิบัติที่ดีคือให้ log บอกได้ว่าใครเชื่อมต่อ เมื่อไร จากอุปกรณ์หรือที่อยู่ใด และใช้บริการใด พร้อมตั้งนาฬิกาทุกระบบให้ตรงกัน
- เก็บข้อมูลระบุตัวผู้ใช้ตั้งแต่วันแรกเก็บข้อมูลของผู้ใช้บริการเท่าที่จำเป็นเพื่อระบุตัวได้ตั้งแต่เริ่มใช้บริการ และเก็บต่อไม่น้อยกว่า 90 วันหลังการใช้บริการสิ้นสุด ตามมาตรา 26 วรรคสอง
- ตั้งระยะเก็บอย่างน้อย 90 วันตั้งค่าระบบหรือที่เก็บสำรองให้เก็บข้อมูลจราจรไม่น้อยกว่า 90 วันนับแต่วันที่ข้อมูลเข้าสู่ระบบ และเตรียมวิธีระงับการลบไว้ เผื่อพนักงานเจ้าหน้าที่สั่งให้เก็บนานขึ้นถึง 2 ปี
- กันไม่ให้ log ถูกแก้หรือหลุดแนวปฏิบัติที่ดีคือจำกัดสิทธิ์ผู้เข้าถึง log แยกที่เก็บออกจากเครื่องที่ผู้ใช้เข้าถึงได้ และบันทึกทุกครั้งที่มีการเปิดดูหรือส่งออก
- ทบทวนและทำลายตามรอบlog มักมีข้อมูลที่เชื่อมโยงถึงตัวบุคคล แนวปฏิบัติที่ดีคือกำหนดวันทบทวน ลบเมื่อหมดความจำเป็น และจดบันทึกการทำลายทุกครั้ง
ต้องเก็บข้อมูลจราจรทางคอมพิวเตอร์นานเท่าไร?
ต้องเก็บไม่น้อยกว่า 90 วันนับแต่วันที่ข้อมูลเข้าสู่ระบบคอมพิวเตอร์ ตามมาตรา 26 วรรคหนึ่ง แห่ง พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 ในกรณีจำเป็น พนักงานเจ้าหน้าที่สั่งให้ผู้ให้บริการรายใดรายหนึ่งเก็บเกิน 90 วันได้ แต่ไม่เกิน 2 ปี และเป็นคำสั่งเฉพาะรายและเฉพาะคราว
ข้อมูลของผู้ใช้บริการที่จำเป็นต่อการระบุตัวต้องเก็บตั้งแต่เริ่มใช้บริการ และเก็บต่อไม่น้อยกว่า 90 วันนับแต่การใช้บริการสิ้นสุดลง ตามมาตรา 26 วรรคสอง
ใครคือผู้ให้บริการที่ต้องเก็บข้อมูลตามมาตรา 26?
มาตรา 26 วรรคสามกำหนดว่าหน้าที่เก็บข้อมูลจราจรจะใช้กับผู้ให้บริการประเภทใด อย่างไร และเมื่อใด ให้เป็นไปตามที่รัฐมนตรีประกาศในราชกิจจานุเบกษา คำตอบว่าธุรกิจของคุณต้องเก็บหรือไม่จึงอยู่ในประกาศฉบับนั้น ไม่ใช่ในตัวมาตรา 26 เพียงอย่างเดียว
ถ้าธุรกิจเปิดให้คนอื่นใช้อินเทอร์เน็ตหรือระบบคอมพิวเตอร์ เช่น Wi-Fi สำหรับลูกค้า หรือแพลตฟอร์มออนไลน์ที่มีผู้ใช้ล็อกอิน แนวปฏิบัติที่ดีคือตรวจประกาศของรัฐมนตรีกับนักกฎหมายตั้งแต่ก่อนเปิดบริการ
ถ้าไม่เก็บ log ตามกฎหมายมีโทษอะไร?
ผู้ให้บริการที่ไม่ปฏิบัติตามมาตรา 26 ต้องระวางโทษปรับไม่เกิน 500,000 บาท ตามวรรคท้ายของมาตรา 26 นอกจากค่าปรับแล้ว การไม่มี log ยังทำให้ธุรกิจอธิบายไม่ได้ว่าใครใช้ระบบทำอะไรเมื่อเกิดเหตุ
มาตรา 15 เกี่ยวข้องกับผู้ให้บริการอย่างไร?
มาตรา 15 กำหนดว่าผู้ให้บริการที่ให้ความร่วมมือ ยินยอม หรือรู้เห็นเป็นใจให้มีการกระทำความผิดตามมาตรา 14 ในระบบคอมพิวเตอร์ที่อยู่ในความควบคุมของตน ต้องรับโทษเช่นเดียวกับผู้กระทำความผิดตามมาตรา 14
รัฐมนตรีออกประกาศกำหนดขั้นตอนการแจ้งเตือน การระงับการเผยแพร่ และการนำข้อมูลคอมพิวเตอร์ออกจากระบบ ถ้าผู้ให้บริการพิสูจน์ได้ว่าทำตามประกาศนั้นแล้ว ผู้ให้บริการไม่ต้องรับโทษ log ที่เก็บไว้ครบจึงช่วยเป็นหลักฐานว่าคุณทำตามขั้นตอนจริง
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 4 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ เราเตอร์หรือไฟร์วอลล์ลบ log อัตโนมัติภายในไม่กี่วัน | ✓ ตั้งให้ส่ง log ไปเก็บที่ระบบกลางและเก็บไม่น้อยกว่า 90 วันนับแต่วันที่ข้อมูลเข้าสู่ระบบ แล้วตั้งกฎการเก็บรักษาใน AIPDPA ให้มีรอบทบทวนและบันทึกการทำลาย เพื่อพิสูจน์ได้ว่าเก็บครบระยะ |
| ✗ มี log แต่ระบุไม่ได้ว่าใครเป็นผู้ใช้ เพราะทุกคนใช้รหัส Wi-Fi เดียวกัน | ✓ มาตรา 26 วรรคสองให้เก็บข้อมูลที่ระบุตัวผู้ใช้บริการตั้งแต่เริ่มใช้บริการ แนวปฏิบัติที่ดีคือให้ผู้ใช้ลงทะเบียนหรือล็อกอินรายคน แล้วบันทึกมาตรการนี้ไว้ในทะเบียนมาตรการความปลอดภัยของ AIPDPA ร่วมกับมาตรการอื่น |
| ✗ ลบ log ตามรอบปกติ ทั้งที่พนักงานเจ้าหน้าที่สั่งให้เก็บนานขึ้น | ✓ คำสั่งตามมาตรา 26 ขยายได้ถึง 2 ปีเฉพาะราย ให้บันทึกคำสั่งและระงับการลบชุดข้อมูลนั้นทันที แล้วแยกกฎการเก็บรักษาชุดนั้นใน AIPDPA เพื่อไม่ให้ถูกลบตามรอบปกติ |
| ✗ เก็บ log ไว้ตลอดไปเผื่อได้ใช้ | ✓ log มักมีข้อมูลที่เชื่อมโยงถึงตัวบุคคล การเก็บนานเกินจำเป็นเพิ่มความเสี่ยงเมื่อข้อมูลรั่ว แนวปฏิบัติที่ดีคือกำหนดวันสิ้นสุด และใช้กฎการเก็บรักษาของ AIPDPA ที่มีตารางทบทวนและบันทึกการทำลายครบในที่เดียว |
ตั้งระยะเก็บ log ครั้งเดียว แล้วมีหลักฐานพร้อมเมื่อถูกขอ
AIPDPA รวมทะเบียนมาตรการความปลอดภัยที่เทียบกับแนวทาง สคส. กรอบ ETDA และมาตรฐาน NCSA ไว้กับกฎการเก็บรักษา ตารางทบทวน และบันทึกการทำลาย ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร แพ็กเกจเริ่ม 2,900 บาทต่อปี (ไม่มี VAT บวกเพิ่ม)
มีในแพ็กเกจ GROWTH · PRO · ENTERPRISE เริ่มต้น 4,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
พ.ร.บ.คอมพิวเตอร์ให้เก็บ log กี่วัน?
ผู้ให้บริการต้องเก็บข้อมูลจราจรทางคอมพิวเตอร์ไม่น้อยกว่า 90 วันนับแต่วันที่ข้อมูลเข้าสู่ระบบคอมพิวเตอร์ ตามมาตรา 26 แห่ง พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550
เจ้าหน้าที่สั่งให้เก็บ log นานสุดกี่ปี?
ไม่เกิน 2 ปี มาตรา 26 ให้พนักงานเจ้าหน้าที่สั่งผู้ให้บริการเก็บเกิน 90 วันได้ในกรณีจำเป็น เป็นกรณีพิเศษเฉพาะรายและเฉพาะคราว
ไม่เก็บข้อมูลจราจรทางคอมพิวเตอร์มีโทษปรับเท่าไร?
ผู้ให้บริการที่ไม่ปฏิบัติตามมาตรา 26 มีโทษปรับไม่เกิน 500,000 บาท
ข้อมูลระบุตัวผู้ใช้บริการต้องเก็บนานแค่ไหน?
ต้องเก็บตั้งแต่เริ่มใช้บริการ และเก็บต่อไม่น้อยกว่า 90 วันนับแต่การใช้บริการสิ้นสุดลง ตามมาตรา 26 วรรคสอง
ร้านที่เปิด Wi-Fi ให้ลูกค้าต้องเก็บ log ไหม?
ขึ้นอยู่กับว่าธุรกิจเป็นผู้ให้บริการประเภทที่ประกาศของรัฐมนตรีกำหนดหรือไม่ เพราะมาตรา 26 วรรคสามให้ประกาศนั้นกำหนดประเภท วิธี และเวลาเริ่มใช้ ถ้ายังไม่แน่ใจ แนวปฏิบัติที่ดีคือเปิดการเก็บ log ไว้ก่อนและตรวจกับนักกฎหมาย
ผู้ให้บริการต้องรับผิดเมื่อผู้ใช้กระทำผิดในระบบของตนไหม?
ตามมาตรา 15 ผู้ให้บริการที่ให้ความร่วมมือ ยินยอม หรือรู้เห็นเป็นใจให้กระทำความผิดตามมาตรา 14 ในระบบของตนต้องรับโทษเช่นเดียวกับผู้กระทำผิด แต่ถ้าพิสูจน์ได้ว่าทำตามประกาศของรัฐมนตรีเรื่องการแจ้งเตือนและการนำข้อมูลออกแล้ว ไม่ต้องรับโทษ
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 2 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 (แก้ไขเพิ่มเติมโดยฉบับที่ 2 พ.ศ. 2560) มาตรา 26
- พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 (แก้ไขเพิ่มเติมโดยฉบับที่ 2 พ.ศ. 2560) มาตรา 15
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
ข้อกำหนดจาก สคส. ETDA และ NCSA ในที่เดียว ทำหนึ่งครั้งได้หลักฐานหลายมาตรฐาน
ลงชื่อรอเปิดใช้งาน →กฎระยะเก็บ ตารางรอบตรวจ และบันทึกการทำลาย — หลักฐานตามมาตรา 37(3) ที่ผู้ตรวจขอเสมอ
ลงชื่อรอเปิดใช้งาน →ข่าวและบทวิเคราะห์กฎหมายเทคโนโลยีทันกระแสโลก
อ่านข่าวล่าสุด →คอร์สเสริมทักษะ PDPA, DPO และธรรมาภิบาล AI พร้อม Digital Product ชุดเครื่องมือพร้อมใช้
ดูคอร์สและสินค้า →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ