สิทธิขอลบข้อมูล PDPA คือสิทธิที่เจ้าของข้อมูลมีในการขอให้องค์กรลบหรือทำลายข้อมูลส่วนบุคคลของตน ล่าสุดที่ปรึกษาศาลสหภาพยุโรปให้ความเห็นว่าการขีดฆ่าชื่อในทะเบียนล้างบาปไม่นับเป็นการลบ ต้องทำให้อ่านไม่ออก บทความนี้เหมาะกับ DPO และฝ่ายไอทีที่ดูแลทะเบียนสมาชิก อ่านแล้วจะรู้ว่าระบบ “ลบ” ของตัวเองลบจริงหรือแค่ซ่อน
ลองนึกภาพว่าคุณออกจากสมาคมแห่งหนึ่งแล้วขอให้ลบชื่อ แต่เจ้าหน้าที่แค่ขีดฆ่าไว้ในสมุดทะเบียน ชื่อยังอ่านได้เหมือนเดิม เรื่องนี้ไปถึงศาลสหภาพยุโรปแล้ว และสะท้อนปัญหาเดียวกับระบบ soft-delete ที่ธุรกิจไทยใช้กันทั่วไป
สรุปสั้น: อัยการสูงสุดประจำศาลยุติธรรมสหภาพยุโรป Laila Medina เสนอว่าสังฆมณฑลต้องมี “เหตุผลอันชอบด้วยกฎหมายที่หนักแน่น” จึงจะเก็บชื่อผู้ปฏิเสธไว้ในทะเบียนล้างบาป และการขีดฆ่าไม่ถือว่าลบ ต้องทำให้อ่านไม่ออก ความเห็นนี้ไม่ผูกมัดศาล แต่องค์กรไทยที่เก็บทะเบียนสมาชิกหรือใช้ soft-delete ควรทบทวนว่าตอบสิทธิขอลบข้อมูล PDPA ได้จริงหรือไม่
สิทธิขอลบข้อมูล PDPA เทียบกับคดีทะเบียนล้างบาปในศาล EU เป็นอย่างไร
คดีทะเบียนล้างบาปคือคดีที่ศาลอุทธรณ์บรัสเซลส์ส่งคำถามไปยังศาลยุติธรรมสหภาพยุโรป เรื่องที่สังฆมณฑล Ghent ปฏิเสธลบชื่อผู้ร้องออกจากทะเบียนบัพติศมา ความเห็นของ Laila Medina จึงเป็นสัญญาณว่าการอ้างว่า “เป็นข้อเท็จจริงทางประวัติศาสตร์” ต้านสิทธิขอลบข้อมูลได้แค่ไหน
ความเห็นแยกสองเรื่อง เรื่องแรก สังฆมณฑลต้องแสดงเหตุผลที่หนักแน่นหากจะเก็บชื่อต่อหลังผู้ร้องปฏิเสธ เรื่องที่สอง การขีดฆ่าไม่ถือว่าลบ ต้องทำให้ข้อมูลอ่านไม่ออก แต่ยังบันทึกข้อเท็จจริงว่ามีพิธีเกิดขึ้นได้ โดยให้พิจารณาเป็นรายกรณี
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| ผู้ให้ความเห็น | Laila Medina อัยการสูงสุดประจำศาลยุติธรรม EU |
| คดีต้นทาง | ศาลอุทธรณ์บรัสเซลส์ส่งคำถามเรื่องสังฆมณฑล Ghent ไม่ลบชื่อในทะเบียนบัพติศมา |
| ข้อเสนอหลัก | ต้องมีเหตุผลหนักแน่นจึงเก็บต่อ และการขีดฆ่าไม่ใช่การลบ |
| สถานะ | ความเห็นไม่ผูกมัด ผู้พิพากษากำลังเริ่มพิจารณา |
| คำพิพากษา | คาดปลายปี 2569 หรือปี 2570 (ตาม NC Register) |
ข่าวต้นทางที่อ่านได้ไม่ระบุเลขคดีหรือข้อของ GDPR ที่เกี่ยวข้อง ผู้อ่านจึงควรถือเป็นความเห็นเชิงหลักการ ไม่ใช่คำพิพากษา
สิทธิขอลบข้อมูล PDPA กระทบองค์กรไทยอย่างไร
สิทธิขอลบข้อมูล PDPA กระทบองค์กรที่เก็บทะเบียนสมาชิกและระบบ CRM เพราะ EU ไม่มีเขตอำนาจในไทย แต่หลักคิด “ลบจริงหรือแค่ซ่อน” ใช้เทียบได้โดยตรง ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน แยกตามกลุ่มที่ได้รับผลกระทบ
องค์กรที่เก็บทะเบียนสมาชิกศาสนา สมาคม สหภาพ หรือพรรค ต้องระวังอะไร
องค์กรเหล่านี้ต้องระวังเพราะข้อมูลศาสนาเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 ซึ่งต้องมีฐานรองรับที่ชัดกว่าข้อมูลทั่วไป คดีนี้เทียบได้กับหลักที่ว่า การเก็บข้อมูลเพื่อประโยชน์ขององค์กรเองยังต้องเทียบกับสิทธิขอลบของเจ้าของข้อมูล
ผู้เขียนไม่ได้บอกว่าศาลไทยจะตัดสินแบบเดียวกัน แต่ถ้ามีสมาชิกขอออกและขอลบชื่อ องค์กรควรตอบได้ว่าเก็บต่อด้วยเหตุผลอะไร และเหตุผลนั้นหนักพอหรือไม่
ธุรกิจที่ใช้ soft-delete ใน CRM เสี่ยงอะไร
ธุรกิจที่ใช้ soft-delete เสี่ยงเพราะลูกค้าขอลบแล้วข้อมูลยังอยู่ในฐานข้อมูล แค่ติดธงว่า “ลบแล้ว” ตัวอย่างสมมติ: ฟิตเนสแห่งหนึ่งมีสมาชิก 20,000 คน ลูกค้าขอลบข้อมูล เจ้าหน้าที่กดปุ่มลบในระบบ แต่ระบบแค่เปลี่ยนสถานะเป็น inactive ชื่อ เบอร์โทร และวันเกิดยังอยู่ครบ
กรณีแบบนี้เทียบได้กับการขีดฆ่าในทะเบียน ถ้าข้อมูลยังอ่านได้ คำตอบ “ลบแล้ว” ที่ส่งให้ลูกค้าอาจไม่ตรงความจริง
เจ้าของข้อมูลที่อยากให้ลบควรคาดหวังอะไร
เจ้าของข้อมูลควรคาดหวังว่าองค์กรอาจเก็บบางอย่างไว้ได้ เช่น ข้อเท็จจริงว่าเหตุการณ์เคยเกิดขึ้น แต่ต้องไม่ใช่ข้อมูลที่ระบุตัวตนได้ชัด ความเห็นของ EU ชี้ว่าต้องพิจารณาเป็นรายกรณี ไม่มีคำตอบสำเร็จรูป
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ตรวจระบบรับสิทธิขอลบข้อมูล PDPA องค์กรอาจตอบลูกค้าว่า “ลบแล้ว” ทั้งที่ข้อมูลยังอ่านได้ ความเสี่ยงแรกคือถูกร้องเรียนว่าตอบสิทธิขอลบข้อมูล PDPA ไม่จริง ความเสี่ยงที่สองคือข้อมูลอ่อนไหวของสมาชิกค้างในระบบโดยไม่มีเหตุผลเก็บที่เขียนไว้ ความเสี่ยงที่สามคือเมื่อข้อมูลรั่ว ข้อมูลที่ควรลบไปแล้วถูกนับรวมในจำนวนผู้ได้รับผลกระทบด้วย
องค์กรที่เก็บทะเบียนสมาชิกควรทำอะไรตอนนี้
องค์กรควรเริ่มจากทดลองขอลบข้อมูลของตัวเองหนึ่งรายการ แล้วดูว่าข้อมูลหายจริงหรือไม่ ขั้นตอนตอบสิทธิขอลบข้อมูล PDPA ไม่ต้องรอคำพิพากษาของศาล EU เพราะตรวจและแก้ได้เองทันที
- 1. แยกสิ่งที่ต้องเก็บออกจากข้อมูลที่ระบุตัวตน ถ้าต้องบันทึกว่าเหตุการณ์เคยเกิด ให้เก็บเฉพาะข้อเท็จจริงนั้นโดยไม่มีชื่อหรือข้อมูลที่โยงถึงตัวบุคคล
- 2. เลิกถือ soft-delete เป็นการลบ กำหนดว่าติดธงไว้ได้นานเท่าไร แล้วลบจริงหรือทำให้ระบุตัวไม่ได้เมื่อไร รวมถึงสำเนาในระบบสำรอง
- 3. เขียนเหตุผลก่อนปฏิเสธคำขอลบ ถ้าจะเก็บต่อ ให้บันทึกว่าเหตุผลคืออะไร หนักแค่ไหน และประเมินเป็นรายกรณี ไม่ใช้ประโยคสำเร็จรูป
- 4. ทำบัญชีทะเบียนที่เก็บข้อมูลอ่อนไหว ไล่ดูว่าเก็บข้อมูลศาสนา สหภาพ หรือการเมืองของสมาชิกที่ไหนบ้าง และมีฐานตามมาตรา 26 รองรับหรือไม่
ถ้าองค์กรต้องการคนช่วยทบทวนขั้นตอนตอบคำขอลบข้อมูล ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru
อ่านกฎเรื่องสิทธิฝั่งขอเข้าถึงข้อมูลต่อได้ใน ประกาศ สคส. เรื่องสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลมีผลแล้ว องค์กรต้องตอบใน 30 วัน คิดค่าธรรมเนียมได้แค่ไหน ปฏิเสธได้เมื่อไร หรือดูเรื่องอื่นในหมวด PDPA & Privacy และ Tech Law & IP
มุมมองผู้เชี่ยวชาญ
จุดที่องค์กรมักพลาดคือเข้าใจว่าปุ่ม “ลบ” ในระบบเท่ากับการลบจริง คดีทะเบียนล้างบาปทำให้เห็นภาพชัดว่า แม้แต่สมุดกระดาษก็ยังมีคำถามว่าขีดฆ่าแล้วถือว่าลบหรือยัง ถ้าคนอื่นยังอ่านชื่อคุณออก ก็ยังไม่ใช่การลบ ผมมองว่าหลักนี้ใช้ได้กับสิทธิขอลบข้อมูล PDPA และ CRM ทุกระบบ ลองให้ทีมไอทีเปิดฐานข้อมูลดูว่าข้อมูลของคนที่ “ลบแล้ว” ยังอยู่ไหม แล้วจะรู้ว่าองค์กรตอบสิทธิขอลบได้จริงแค่ไหน
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับสิทธิขอลบข้อมูล PDPA
ขีดฆ่าชื่อในทะเบียนถือว่าลบข้อมูลหรือไม่
ไม่ถือตามความเห็นของที่ปรึกษาศาล EU ซึ่งระบุว่าต้องทำให้ข้อมูลอ่านไม่ออก แต่ยังบันทึกข้อเท็จจริงว่ามีพิธีเกิดขึ้นได้ ความเห็นนี้ไม่ผูกมัดศาล
ความเห็นนี้ใช้กับไทยได้เลยหรือไม่
ใช้ไม่ได้โดยตรง เพราะ EU ไม่มีเขตอำนาจในไทยและความเห็นของ Advocate General ยังไม่ใช่คำพิพากษา แต่หลักคิดเรื่องลบจริงหรือแค่ซ่อนเทียบกับ PDPA ของไทยได้
ข้อมูลศาสนาเป็นข้อมูลอ่อนไหวตาม PDPA หรือไม่
เป็น ข้อมูลศาสนาจัดเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 องค์กรที่เก็บข้อมูลลักษณะนี้จึงต้องมีฐานรองรับที่ชัดเจนและมาตรการดูแลที่เหมาะสม
องค์กรปฏิเสธคำขอลบข้อมูลได้หรือไม่
ในกรณีของ EU องค์กรปฏิเสธได้ถ้ามีเหตุผลอันชอบด้วยกฎหมายที่หนักแน่น และต้องพิจารณาเป็นรายกรณี ส่วนเงื่อนไขตาม PDPA ของไทย ผู้อ่านควรตรวจตัวบทหรือปรึกษาผู้เชี่ยวชาญก่อนปฏิเสธ
แหล่งอ้างอิง
- National Catholic Register — (อ่านต้นฉบับ) — อ่านข่าวที่ National Catholic Register
- Courthouse News Service — (อ่านต้นฉบับ) — อ่านข่าวที่ Courthouse News Service
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
