ตอบคำขอใช้สิทธิของเจ้าของข้อมูล (DSR) ให้ทันใน 30 วัน ทำอย่างไร กำหนดเวลาตอบคำขอเข้าถึงหรือขอรับสำเนาข้อมูลส่วนบุคคลคือ โดยไม่ชักช้า แต่ไม่เกิน 30 วันนับแต่วันที่ผู้ควบคุมข้อมูลส่วนบุคคลได้รับคำขอ ตามมาตรา 30 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่องการเข้าถึงข้อมูล พ.ศ. 2569 ซึ่งใช้บังคับแล้วตั้งแต่กลางเดือนกันยายน 2569 ยังกำหนดให้ตรวจตัวตนให้เสร็จใน 15 วัน และขยายเวลาได้อีกไม่เกิน 30 วันโดยต้องแจ้งเหตุผล
อดีตพนักงานของบริษัทขนส่งแห่งหนึ่งส่งอีเมลขอสำเนาข้อมูลส่วนบุคคลทั้งหมดที่บริษัทเก็บไว้ อีเมลนั้นค้างอยู่ในกล่องจดหมายของฝ่ายบุคคลสามสัปดาห์ เพราะไม่มีใครรู้ว่าต้องตรวจตัวตนอย่างไร ต้องดึงข้อมูลจากระบบไหน และเหลือเวลาอีกกี่วัน
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- คำขอเข้าถึงหรือขอสำเนาข้อมูลต้องดำเนินการไม่เกิน 30 วันนับแต่วันที่ได้รับคำขอ (มาตรา 30)
- ประกาศ DSR พ.ศ. 2569 ประกาศในราชกิจจานุเบกษา 16 ก.ค. 2569 ใช้บังคับเมื่อพ้น 60 วันนับแต่วันประกาศ จึงใช้บังคับแล้วตั้งแต่กลางเดือนกันยายน 2569
- ต้องตรวจคำขอและตัวตนผู้ยื่นให้เสร็จไม่เกิน 15 วัน ถ้าเอกสารไม่ครบต้องให้เวลาแก้ไขไม่น้อยกว่า 10 วัน
- ขยายเวลาได้อีกไม่เกิน 30 วันถ้าข้อมูลมีปริมาณมากหรือมีเหตุจำเป็น โดยต้องแจ้งเหตุผลให้ผู้ยื่นทราบ
- การปฏิเสธคำขอต้องแจ้งเหตุผลให้ผู้ยื่นทราบ และบันทึกไว้ในรายการตามมาตรา 39
ทำตามนี้ 6 ขั้นตอน
ทำตามลำดับ 6 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- เปิดช่องทางรับคำขอข้อ 5 ของประกาศฯ พ.ศ. 2569 ให้รับคำขอได้ทั้งการยื่นด้วยตนเองและทางไปรษณีย์ ณ สถานที่ติดต่อที่แจ้งไว้ตามมาตรา 23 และอาจเพิ่มช่องทางอิเล็กทรอนิกส์ได้
- ลงทะเบียนวันที่รับคำขอบันทึกวันที่ได้รับคำขอทุกครั้ง เพราะกำหนด 15 วันและ 30 วันนับจากวันนั้น หรือจากวันที่ได้รับคำขอที่แก้ไขจนครบถ้วนแล้ว
- ตรวจตัวตนภายใน 15 วันตรวจรายละเอียดคำขอและเอกสารแสดงตัว เช่น บัตรประจำตัวประชาชนหรือหนังสือเดินทาง ถ้ามีผู้ยื่นแทนต้องมีหนังสือมอบอำนาจ (ข้อ 6 และข้อ 7)
- ขอเอกสารเพิ่มเมื่อไม่ครบแจ้งเป็นหนังสือหรือทางอิเล็กทรอนิกส์ให้แก้ไขภายในเวลาไม่น้อยกว่า 10 วัน ถ้าผู้ยื่นไม่แก้ไข ให้ถือว่าละทิ้งคำขอ และต้องแจ้งให้ผู้ยื่นทราบ
- รวบรวมข้อมูลและตอบภายใน 30 วันดึงข้อมูลจากทุกระบบ รวมถึงข้อมูลที่ได้มาจากแหล่งอื่นและแหล่งที่มา (ข้อ 4) แล้วให้ตรวจดู ส่งสำเนา หรือส่งในรูปแบบอิเล็กทรอนิกส์ตามที่ขอ (ข้อ 9)
- แจ้งการขยายเวลาหรือการปฏิเสธถ้าต้องขยายเวลา ต้องแจ้งเหตุผลให้ผู้ยื่นทราบ แนวปฏิบัติที่ดีคือแจ้งก่อนครบ 30 วันแรก ถ้าปฏิเสธ ต้องแจ้งเหตุผลและบันทึกไว้ในรายการตามมาตรา 39 (ข้อ 8 และข้อ 10)
เจ้าของข้อมูลใช้สิทธิอะไรได้บ้างตาม PDPA?
มาตรา 30 ถึง 36 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ให้สิทธิเจ้าของข้อมูล 6 กลุ่มหลัก และกำหนดว่าเมื่อผู้ควบคุมข้อมูลปฏิเสธคำขอบางประเภท ต้องบันทึกการปฏิเสธพร้อมเหตุผลไว้ในรายการตามมาตรา 39
- ขอเข้าถึง ขอรับสำเนา หรือขอให้เปิดเผยการได้มาซึ่งข้อมูลที่ตนไม่ได้ให้ความยินยอม (มาตรา 30)
- ขอรับหรือให้ส่งโอนข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่องมืออัตโนมัติ เมื่อผู้ควบคุมจัดข้อมูลไว้ในรูปแบบนั้น (มาตรา 31)
- คัดค้านการเก็บ ใช้ หรือเปิดเผยข้อมูล เช่น เพื่อการตลาดแบบตรง (มาตรา 32)
- ขอให้ลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ (มาตรา 33)
- ขอให้ระงับการใช้ข้อมูล (มาตรา 34)
- ขอให้ข้อมูลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ทำให้เข้าใจผิด (มาตรา 35 และ 36)
ต้องตอบคำขอภายในกี่วัน?
คำขอเข้าถึงหรือขอรับสำเนาข้อมูลต้องดำเนินการโดยไม่ชักช้า แต่ไม่เกิน 30 วันนับแต่วันที่ได้รับคำขอ ตามมาตรา 30 วรรคสี่ และข้อ 10 ของประกาศฯ พ.ศ. 2569 ให้ขยายได้อีกไม่เกิน 30 วันนับแต่วันครบกำหนดเดิม ถ้าข้อมูลมีปริมาณมากหรือมีเหตุจำเป็น โดยต้องแจ้งเหตุผลให้ผู้ยื่นทราบ
สำหรับการคัดค้าน มาตรา 32 กำหนดว่าเมื่อเจ้าของข้อมูลใช้สิทธิคัดค้าน ผู้ควบคุมจะเก็บ ใช้ หรือเปิดเผยข้อมูลนั้นต่อไปไม่ได้ และต้องดำเนินการทันทีที่ได้รับแจ้ง ส่วนสิทธิอื่นในมาตรา 31 ถึง 36 ตัวบทไม่ได้ระบุจำนวนวัน แนวปฏิบัติที่ดีคือใช้กรอบ 30 วันเดียวกันกับคำขอทุกประเภท
ประกาศ DSR พ.ศ. 2569 กำหนดอะไรเพิ่ม และใช้บังคับเมื่อไร?
ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่องหลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคล พ.ศ. 2569 ประกาศในราชกิจจานุเบกษา 16 ก.ค. 2569 ใช้บังคับเมื่อพ้น 60 วันนับแต่วันประกาศ จึงใช้บังคับแล้วตั้งแต่กลางเดือนกันยายน 2569 ประกาศนี้ใช้กับคำขอตามมาตรา 30 คือการขอเข้าถึง ขอสำเนา และขอให้เปิดเผยการได้มาซึ่งข้อมูล
- ต้องมีช่องทางยื่นด้วยตนเองและทางไปรษณีย์ และอาจเพิ่มช่องทางอิเล็กทรอนิกส์ (ข้อ 5)
- คำขอต้องทำเป็นหนังสือหรือรูปแบบอิเล็กทรอนิกส์ พร้อมเอกสารแสดงตัว และยื่นแทนได้ด้วยหนังสือมอบอำนาจ (ข้อ 6)
- ตรวจคำขอและตัวตนให้เสร็จไม่เกิน 15 วัน และให้เวลาแก้ไขเอกสารไม่น้อยกว่า 10 วัน (ข้อ 7)
- ปฏิเสธได้เมื่อเป็นไปตามกฎหมายหรือคำสั่งศาล เมื่อกระทบสิทธิและเสรีภาพของผู้อื่น หรือเมื่อคำขอไม่เป็นสาระสำคัญอย่างชัดเจนหรือเพิ่มภาระโดยไม่มีเหตุผลอันสมควร (ข้อ 8)
- ดำเนินการภายใน 30 วัน และขยายได้อีกไม่เกิน 30 วันพร้อมแจ้งเหตุผล (ข้อ 10)
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ คำขอค้างในอีเมลของพนักงานคนเดียว ไม่มีใครเห็นกำหนดเวลา | ✓ กำหนดช่องทางกลางและผู้รับผิดชอบให้ชัด พอร์ทัล DSR ของ AIPDPA ให้ลิงก์สาธารณะและ QR สำหรับยื่นคำขอ ส่งรหัสติดตามทางอีเมลให้ผู้ยื่น และมีนาฬิกานับวันครบกำหนดให้ทีมเห็นทุกคำขอ |
| ✗ ส่งสำเนาที่มีข้อมูลของคนอื่นหรือความลับทางการค้าปนไป | ✓ ข้อ 8 ให้ดำเนินการเท่าที่ทำได้โดยลบหรือตัดทอนส่วนที่กระทบผู้อื่นออก ตรวจเอกสารก่อนส่งทุกครั้ง และใช้ทะเบียน RoPA ใน AIPDPA เพื่อดูว่าข้อมูลประเภทนั้นอยู่ในกิจกรรมหรือระบบใดบ้าง |
| ✗ ปฏิเสธคำขอทางโทรศัพท์โดยไม่มีบันทึก | ✓ แจ้งเหตุผลการปฏิเสธให้ผู้ยื่นทราบ และบันทึกพร้อมเหตุผลในรายการตามมาตรา 39 ตามข้อ 8 พอร์ทัล DSR ของ AIPDPA เก็บประวัติคำขอและผลการดำเนินการไว้ครบ เป็นหลักฐานที่ผู้ตรวจขอดู |
รับคำขอใช้สิทธิผ่านลิงก์เดียว ไม่พลาดกำหนดวัน
พอร์ทัล DSR ของ AIPDPA ให้ลิงก์และ QR สำหรับเจ้าของข้อมูล ส่งรหัสติดตามทางอีเมล นับวันครบกำหนดให้ทุกคำขอ และเก็บประวัติคำขอไว้เป็นหลักฐาน ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในแพ็กเกจ GROWTH · PRO · ENTERPRISE เริ่มต้น 4,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
ต้องตอบคำขอใช้สิทธิของเจ้าของข้อมูลภายในกี่วัน?
คำขอเข้าถึงหรือขอรับสำเนาข้อมูลต้องดำเนินการไม่เกิน 30 วันนับแต่วันที่ได้รับคำขอตามมาตรา 30 และขยายได้อีกไม่เกิน 30 วันตามข้อ 10 ของประกาศฯ พ.ศ. 2569 ถ้ามีเหตุจำเป็นและแจ้งเหตุผลให้ผู้ยื่นทราบแล้ว
ต้องรับคำขอใช้สิทธิทางอีเมลหรือไม่?
ข้อ 5 ของประกาศฯ พ.ศ. 2569 บังคับให้มีช่องทางยื่นด้วยตนเองและทางไปรษณีย์ ส่วนช่องทางอิเล็กทรอนิกส์ เช่น อีเมลหรือแบบฟอร์มออนไลน์ เป็นช่องทางเพิ่มเติมที่ผู้ควบคุมข้อมูลอาจจัดให้มี
ให้คนอื่นยื่นคำขอแทนเจ้าของข้อมูลได้ไหม?
ได้ ตามข้อ 6 ของประกาศฯ พ.ศ. 2569 ผู้รับมอบอำนาจต้องแนบหนังสือมอบอำนาจที่ติดอากรแสตมป์ครบถ้วน ลงลายมือชื่อทั้งสองฝ่าย พร้อมสำเนาเอกสารแสดงตัวที่รับรองสำเนาถูกต้อง
ปฏิเสธคำขอที่ดูไม่มีเหตุผลได้ไหม?
ได้ ข้อ 8 ของประกาศฯ พ.ศ. 2569 ให้ปฏิเสธคำขอที่ไม่เป็นสาระสำคัญอย่างชัดเจน หรือเพิ่มภาระโดยไม่มีเหตุผลอันสมควร แต่ต้องแจ้งเหตุผลให้ผู้ยื่นทราบและบันทึกการปฏิเสธไว้ในรายการตามมาตรา 39
ลูกค้าขอให้ลบข้อมูล ต้องลบทุกกรณีหรือไม่?
ไม่ทุกกรณี สิทธิตามมาตรา 33 ไม่ใช้กับการเก็บไว้เพื่อก่อตั้ง ใช้ หรือยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย เพื่อปฏิบัติตามกฎหมาย และกรณีอื่นที่มาตรานั้นระบุ ถ้าผู้ควบคุมไม่ลบโดยไม่มีเหตุดังกล่าว เจ้าของข้อมูลร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญได้
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 3 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 30
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 31–36
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับเจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ในความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล หรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอม พ.ศ. 2569 ข้อ 4–10
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
ลิงก์และ QR ให้เจ้าของข้อมูลยื่นคำขอเอง ระบบนับกำหนดเวลา ส่งรหัสติดตาม และเก็บบันทึกคำขอให้ครบ
ลงชื่อรอเปิดใช้งาน →ทะเบียนเติมจากโครงสร้างองค์กรให้เอง เลือกฐานกฎหมายพร้อมมาตรา แล้วพิมพ์รายงานตามมาตรา 39 ได้ทันที
ลงชื่อรอเปิดใช้งาน →มี DPO มืออาชีพดูแลต่อเนื่องโดยไม่ต้องจ้างพนักงานประจำ
ดูแพ็กเกจ →คอร์สเสริมทักษะ PDPA, DPO และธรรมาภิบาล AI พร้อม Digital Product ชุดเครื่องมือพร้อมใช้
ดูคอร์สและสินค้า →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ