กำหนดระยะเก็บและลบทำลายข้อมูลส่วนบุคคลอย่างไรให้ถูกต้องตาม PDPA? ให้กำหนดระยะเก็บรักษาของแต่ละกิจกรรมตามความจำเป็นของวัตถุประสงค์ และจัดให้มีระบบตรวจสอบเพื่อลบหรือทำลายข้อมูลเมื่อพ้นระยะ ตามมาตรา 37 (3) แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เมื่อเจ้าของข้อมูลขอให้ลบตามมาตรา 33 ต้องดำเนินการโดยไม่ชักช้าและไม่เกิน 90 วันนับแต่วันที่ได้รับคำขอ โดยครอบคลุมสำเนาและข้อมูลสำรองด้วย ตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่องหลักเกณฑ์การลบหรือทำลายฯ พ.ศ. 2567 ซึ่งมีผลตั้งแต่ 12 พฤศจิกายน 2567
ฝ่ายบุคคลของโรงงานแห่งหนึ่งได้รับอีเมลจากผู้สมัครงานที่ไม่ผ่านการคัดเลือกเมื่อสองปีก่อน ขอให้ลบใบสมัครและสำเนาบัตรประชาชนของเขา ทีมงานลบไฟล์ในไดรฟ์กลางแล้วตอบกลับว่าเรียบร้อย โดยไม่มีใครนึกถึงสำเนาในกล่องอีเมลของผู้สัมภาษณ์ แฟ้มกระดาษ และไฟล์สำรองบนคลาวด์
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- มาตรา 37 (3) ให้มีระบบตรวจสอบเพื่อลบหรือทำลายข้อมูลเมื่อพ้นระยะเก็บรักษา เมื่อเกินความจำเป็น เมื่อเจ้าของข้อมูลร้องขอ หรือเมื่อถอนความยินยอม
- คำขอลบตามมาตรา 33 ต้องดำเนินการโดยไม่ชักช้า และไม่เกิน 90 วันนับแต่วันที่ได้รับคำขอ
- การลบต้องครอบคลุมสำเนาและข้อมูลสำรอง และต้องไม่มีใครกู้คืนหรือย้อนกลับมาระบุตัวบุคคลได้ด้วยวิธีที่คาดหมายได้ตามสมควร
- ถ้าลบไม่ทันเพราะเหตุผลทางเทคนิค ต้องทำให้ข้อมูลนั้นถูกใช้หรือเปิดเผยได้ยาก และลบทันทีเมื่อทำได้
- ข้อมูลที่เก็บมาโดยไม่ชอบด้วยกฎหมายตามมาตรา 33 (4) ต้องลบหรือทำลายเท่านั้น จะทำเป็นข้อมูลนิรนามแทนไม่ได้
ทำตามนี้ 6 ขั้นตอน
ทำตามลำดับ 6 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- ไล่รายการข้อมูลตามกิจกรรมเริ่มจากบันทึกรายการกิจกรรมการประมวลผล (RoPA) ว่าแต่ละกิจกรรมเก็บข้อมูลอะไร เพื่อวัตถุประสงค์ใด และมีอยู่ที่ไหนบ้าง รวมถึงกล่องอีเมล แฟ้มกระดาษ และไฟล์สำรอง
- ตั้งระยะเก็บรักษาของแต่ละชุดข้อมูลกำหนดระยะเวลาให้ผูกกับวัตถุประสงค์ เช่น ระยะที่กฎหมายเฉพาะบังคับให้เก็บ หรือช่วงที่ยังอาจต้องใช้ข้อมูลเพื่อสิทธิเรียกร้องตามกฎหมาย แล้วเขียนเหตุผลไว้ให้ตรวจสอบได้
- ตั้งรอบทบทวนและระบบตรวจสอบจัดให้มีระบบตรวจสอบตามมาตรา 37 (3) เช่น รอบทบทวนรายเดือนหรือรายไตรมาส เพื่อหาข้อมูลที่พ้นระยะ เกินความจำเป็น หรือถูกถอนความยินยอมแล้ว
- เลือกวิธีลบให้เหมาะกับข้อมูลลบหรือทำลายให้ครอบคลุมสำเนาและข้อมูลสำรองจนกู้คืนไม่ได้ ตามประกาศฯ ข้อ 3 วรรคสอง หากเลือกทำเป็นข้อมูลนิรนาม ให้ลบตัวระบุทางตรงก่อนแล้วลดตัวระบุทางอ้อม ตามข้อ 6
- รับคำขอลบและนับเวลา 90 วันบันทึกวันที่ได้รับคำขอตามมาตรา 33 ตรวจว่าเข้าข้อยกเว้นหรือไม่ แล้วดำเนินการโดยไม่ชักช้าภายใน 90 วัน ตามประกาศฯ ข้อ 3
- เก็บบันทึกการทำลายแนวปฏิบัติที่ดีคือบันทึกว่าลบข้อมูลชุดใด เมื่อไร โดยใคร และด้วยวิธีใด เพื่อแสดงได้ว่าระบบตามมาตรา 37 (3) ทำงานจริง
PDPA ให้เก็บข้อมูลส่วนบุคคลได้นานแค่ไหน?
มาตรา 33 และมาตรา 37 ไม่ได้กำหนดจำนวนปีตายตัว แต่มาตรา 37 (3) ให้ลบหรือทำลายเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือเมื่อข้อมูลไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ ผู้ควบคุมข้อมูลจึงต้องกำหนดระยะเก็บรักษาเองให้สอดคล้องกับวัตถุประสงค์ของแต่ละกิจกรรม
ตัวบทยกเว้นให้เก็บต่อได้เพื่อใช้เสรีภาพในการแสดงความคิดเห็น เพื่อวัตถุประสงค์ตามมาตรา 24 (1) หรือ (4) หรือมาตรา 26 (5) (ก) หรือ (ข) เพื่อก่อตั้ง ปฏิบัติตาม ใช้ หรือยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย
ลูกค้าขอให้ลบข้อมูล ต้องลบภายในกี่วัน?
ต้องดำเนินการโดยไม่ชักช้า แต่ไม่เกิน 90 วันนับแต่วันที่ได้รับคำขอ ตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ข้อ 3 ซึ่งมีผลใช้บังคับตั้งแต่วันที่ 12 พฤศจิกายน 2567
สิทธิขอลบตามมาตรา 33 ใช้ได้ใน 4 กรณี คือ ข้อมูลหมดความจำเป็นตามวัตถุประสงค์ เจ้าของข้อมูลถอนความยินยอมและไม่มีอำนาจตามกฎหมายให้ประมวลผลต่อ เจ้าของข้อมูลคัดค้านตามมาตรา 32 ในกรณีที่ผู้ควบคุมข้อมูลปฏิเสธไม่ได้ หรือข้อมูลถูกเก็บ ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมาย
ลบข้อมูลแล้ว ต้องลบในข้อมูลสำรองด้วยหรือไม่?
ต้องลบด้วย ประกาศฯ พ.ศ. 2567 ข้อ 3 วรรคสองกำหนดให้การลบครอบคลุมข้อมูลที่ทำสำเนาหรือสำรองไว้ (ถ้ามี) และต้องทำให้แน่ใจว่าไม่มีผู้ใดกู้คืนหรือทำให้ข้อมูลย้อนกลับมาระบุตัวบุคคลได้ด้วยวิธีที่อาจคาดหมายได้ตามสมควร
ถ้าลบไม่ทันกำหนดเพราะเหตุผลทางเทคนิค เช่น ข้อมูลอิเล็กทรอนิกส์ที่รอถูกบันทึกทับ ข้อ 4 ให้ทำให้ข้อมูลนั้นถูกใช้หรือเปิดเผยได้ยาก นำไปใช้ให้บริการหรือตัดสินใจเกี่ยวกับเจ้าของข้อมูลไม่ได้ ป้องกันไม่ให้ผู้ใดเข้าถึง มีมาตรการความปลอดภัยตามระดับความเสี่ยง และลบทันทีเมื่อทำได้
ทำข้อมูลนิรนาม (anonymization) แทนการลบได้ไหม?
ทำได้ในหลายกรณี โดยต้องทำตามประกาศฯ ข้อ 6 คือ ลบตัวระบุทางตรงทั้งหมดก่อน แล้วลดโอกาสระบุตัวจากตัวระบุทางอ้อมให้ต่ำเพียงพอ ข้อยกเว้นคือข้อมูลที่เก็บมาโดยไม่ชอบด้วยกฎหมายตามมาตรา 33 (4) ซึ่งข้อ 7 ให้ลบหรือทำลายเท่านั้น
หากเจ้าของข้อมูลขอวิธีหนึ่ง แต่ผู้ควบคุมข้อมูลเลือกใช้อีกวิธีตามประกาศ ต้องแจ้งให้เจ้าของข้อมูลทราบ ตามข้อ 3 วรรคสาม
- ตัวระบุทางตรง เช่น ชื่อ ชื่อสกุล เลขประจำตัวประชาชน เลขหนังสือเดินทาง เลขประจำตัวผู้เสียภาษี และรหัสลูกค้าหรือเลขบัญชี
- หมายเลขโทรศัพท์ อีเมลเฉพาะตัว และหมายเลขทะเบียนรถ ก็นับเป็นตัวระบุทางตรง
- ภาพใบหน้าและข้อมูลชีวภาพที่ระบุตัวได้ รวมถึงชื่อบัญชีผู้ใช้ในระบบ ต้องลบออกด้วย
- ตัวระบุทางอ้อมที่ต้องลดโอกาสระบุตัว เช่น วันเกิด อายุ ตำแหน่งงาน ที่อยู่ และ IP address โดยอาจใช้การแฝงข้อมูล (pseudonymization)
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ ลบไฟล์หลักแล้ว แต่ลืมสำเนาในอีเมล แฟ้มกระดาษ และไฟล์สำรอง | ✓ ไล่ให้ครบว่าข้อมูลชุดนั้นมีสำเนาอยู่ที่ใดบ้างก่อนลบ ตามข้อ 3 วรรคสอง ใน AIPDPA ทะเบียน RoPA ช่วยไล่ว่าแต่ละกิจกรรมเก็บข้อมูลอะไร และโมดูลระยะเก็บรักษาเก็บบันทึกการทำลายไว้เป็นหลักฐานตามมาตรา 37 (3) |
| ✗ ไม่มีใครรู้ว่าข้อมูลชุดไหนครบกำหนดต้องลบแล้ว | ✓ กำหนดระยะเก็บรักษาและวันทบทวนของทุกชุดข้อมูลให้ชัด โมดูลระยะเก็บรักษาของ AIPDPA รวมกฎระยะเก็บ ตารางทบทวน และบันทึกการทำลายไว้ในที่เดียว เปิดให้ผู้ตรวจดูได้ทันที |
| ✗ รับคำขอลบทางไลน์หรืออีเมล แล้วไม่มีใครนับเวลา 90 วัน | ✓ บันทึกวันที่ได้รับคำขอทุกครั้งและมอบหมายผู้รับผิดชอบ พอร์ทัล DSR ของ AIPDPA มีลิงก์และ QR ให้เจ้าของข้อมูลยื่นคำขอ มีนาฬิกานับกำหนดเวลา ส่งรหัสติดตามทางอีเมล และเก็บประวัติคำขอไว้ครบ |
ตั้งกฎระยะเก็บ และพิสูจน์ได้ว่าลบจริง
โมดูลระยะเก็บรักษาของ AIPDPA รวมกฎระยะเก็บ ตารางทบทวน และบันทึกการทำลายไว้เป็นหลักฐานตามมาตรา 37 (3) ตั้งค่าเสร็จในไม่กี่นาที ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในแพ็กเกจ GROWTH · PRO · ENTERPRISE เริ่มต้น 4,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
ลูกค้าขอลบข้อมูล ต้องทำให้เสร็จภายในกี่วัน?
ต้องทำโดยไม่ชักช้า แต่ไม่เกิน 90 วันนับแต่วันที่ได้รับคำขอ ตามประกาศคณะกรรมการฯ เรื่องหลักเกณฑ์การลบหรือทำลายฯ พ.ศ. 2567 ข้อ 3 เว้นแต่เข้าข้อยกเว้นตามมาตรา 33 วรรคสอง
ปฏิเสธคำขอลบข้อมูลได้ไหม?
ได้ในกรณีที่กฎหมายยกเว้น เช่น ต้องเก็บไว้เพื่อปฏิบัติตามกฎหมาย หรือเพื่อก่อตั้ง ใช้ หรือยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย ทั้งนี้ประกาศฯ ข้อ 8 ให้แจ้งเจ้าของข้อมูลพร้อมเหตุผล
ถ้าไม่มีใครขอ ต้องลบข้อมูลเองด้วยหรือไม่?
ต้องลบ มาตรา 37 (3) ให้มีระบบตรวจสอบเพื่อลบข้อมูลที่พ้นระยะเก็บรักษาหรือเกินความจำเป็น และประกาศฯ ข้อ 9 ให้นำหลักเกณฑ์เรื่องข้อมูลสำรอง การลบไม่ทัน และการทำข้อมูลนิรนามมาใช้กับระบบนี้ด้วย
ประกาศเรื่องการลบหรือทำลายข้อมูลมีผลบังคับตั้งแต่เมื่อไร?
ประกาศในราชกิจจานุเบกษาเมื่อ 13 สิงหาคม 2567 และใช้บังคับเมื่อพ้นกำหนด 90 วันนับแต่วันประกาศ คือตั้งแต่วันที่ 12 พฤศจิกายน 2567
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 8 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 33
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (3)
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ข้อ 3
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ข้อ 4
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ข้อ 6
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ข้อ 7
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ข้อ 8
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ข้อ 9
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
กฎระยะเก็บ ตารางรอบตรวจ และบันทึกการทำลาย — หลักฐานตามมาตรา 37(3) ที่ผู้ตรวจขอเสมอ
ลงชื่อรอเปิดใช้งาน →ลิงก์และ QR ให้เจ้าของข้อมูลยื่นคำขอเอง ระบบนับกำหนดเวลา ส่งรหัสติดตาม และเก็บบันทึกคำขอให้ครบ
ลงชื่อรอเปิดใช้งาน →ทะเบียนเติมจากโครงสร้างองค์กรให้เอง เลือกฐานกฎหมายพร้อมมาตรา แล้วพิมพ์รายงานตามมาตรา 39 ได้ทันที
ลงชื่อรอเปิดใช้งาน →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →คอร์สเสริมทักษะ PDPA, DPO และธรรมาภิบาล AI พร้อม Digital Product ชุดเครื่องมือพร้อมใช้
ดูคอร์สและสินค้า →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ