บทนำ
บริษัทจำนวนมากเข้าใจว่า เมื่อมีคนขอลบข้อมูลส่วนบุคคล งานก็จบเมื่อกดปุ่ม Delete แต่คดีล่าสุดของ CNIL ฝรั่งเศสกำลังบอกธุรกิจอีกเรื่องหนึ่งว่า “การจัดการคำขอ” ก็เป็นหน้าที่สำคัญไม่แพ้การลบข้อมูลเอง โดย CNIL ลงโทษ EXTIA บริษัทด้านไอทีและวิศวกรรมเป็นเงิน 300,000 ยูโร หลังพบปัญหาในการจัดการคำขอลบข้อมูลของผู้สมัครงานและอดีตพนักงานจำนวนมาก
ทำไม CNIL จึงปรับ EXTIA 300,000 ยูโร
CNIL ฝรั่งเศสลงโทษ EXTIA จากข้อบกพร่องหลายด้านเกี่ยวกับสิทธิของเจ้าของข้อมูล โดยเฉพาะสิทธิในการขอลบข้อมูลตาม GDPR บริษัทได้รับคำขอลบข้อมูล 265 รายการในปี 2024 และมากกว่าสามในสี่ของคำขอไม่ได้ถูกจัดการอย่างเหมาะสม
ตัวเลขที่ CNIL พบมีรายละเอียดที่น่าสนใจ เพราะมีผู้ยื่นคำขอ 166 รายที่ไม่ได้รับแจ้งผลของคำขอเลย และอีก 27 รายได้รับแจ้งล่าช้ากว่ากรอบเวลาหนึ่งเดือน โดยบางกรณีล่าช้าไปหลายเดือน
CNIL ยังพบคำขอ 12 รายการที่ไม่ได้รับการจัดการ และแม้ EXTIA จะอธิบายว่าข้อมูลของผู้สมัครบางรายถูกลบโดยระบบอัตโนมัติ แต่ CNIL มองว่าการลบอัตโนมัติไม่ได้ทำให้องค์กรพ้นจากหน้าที่ในการแจ้งเจ้าของข้อมูลว่าเกิดอะไรขึ้นกับคำขอของตน
ประเด็นสำคัญจึงไม่ใช่แค่ “ข้อมูลถูกลบหรือยัง” แต่คือ “องค์กรสามารถจัดการคำขอและอธิบายสิ่งที่ทำให้เจ้าของข้อมูลได้หรือไม่”
ปัญหาของ EXTIA ไม่ใช่แค่ “ลบข้อมูลไม่สำเร็จ”
ปัญหาของ EXTIA สะท้อนว่าองค์กรอาจมีระบบลบข้อมูลอยู่แล้ว แต่ยังมีความเสี่ยงหากไม่มีระบบรับคำขอ ติดตามงาน และแจ้งผลอย่างเป็นระบบ CNIL ระบุชัดว่าการตอบสนองต่อคำขอของเจ้าของข้อมูลเป็นส่วนหนึ่งของหน้าที่ตาม GDPR
ลองนึกภาพง่าย ๆ ว่า ลูกค้าส่งอีเมลมาวันที่ 1 มกราคมว่า “ขอลบข้อมูลทั้งหมดของผม”
อีเมลฉบับนั้นอาจไปถึงฝ่ายขาย
ฝ่ายขายส่งต่อให้ฝ่ายกฎหมาย
ฝ่ายกฎหมายส่งต่อ IT
IT ลบข้อมูลในระบบหลัก
แต่ไม่มีใครบันทึกว่าเริ่มเรื่องวันไหน ลบจากระบบอะไรแล้วบ้าง และใครเป็นคนแจ้งลูกค้ากลับ
ในมุมของบริษัทอาจรู้สึกว่า “เราลบแล้ว”
แต่ในมุมของเจ้าของข้อมูล คำตอบอาจเป็น “แล้วทำไมไม่มีใครตอบผม”
ตรงนี้เองที่คำขอใช้สิทธิกลายจากงานหลังบ้านธรรมดาเป็นเรื่องของ Compliance โดยตรง
DSAR = Data Subject Access Request
พูดง่าย ๆ คือ “คำขอใช้สิทธิของเจ้าของข้อมูล”
เช่น ขอเข้าถึงข้อมูล ขอแก้ไขข้อมูล ขอให้ลบข้อมูล หรือใช้สิทธิอื่นตามกฎหมาย
จุดสำคัญคือองค์กรต้องรู้ว่า
ใครรับคำขอ → ใครตรวจสอบ → ใครตัดสินใจ → ใครดำเนินการ → ใครแจ้งผล → ปิดเรื่องเมื่อใดPDPA ไทยมีสิทธิให้เจ้าของข้อมูลขอลบข้อมูลหรือไม่
มี และมาตราที่เกี่ยวข้องโดยตรงกับสิทธิขอลบหรือทำลายข้อมูลคือ มาตรา 33 ของ PDPA ไม่ใช่มาตรา 30 มาตรา 33 เปิดทางให้เจ้าของข้อมูลขอให้ผู้ควบคุมข้อมูลลบหรือทำลายข้อมูล หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ เมื่อเข้าเงื่อนไขตามกฎหมาย
เรื่องนี้สำคัญเพราะคำว่า “ลบข้อมูล” ไม่ได้หมายความว่าเจ้าของข้อมูลสามารถสั่งลบทุกอย่างได้ทันทีเสมอไป กฎหมายมีข้อยกเว้น เช่น กรณีที่ยังมีเหตุจำเป็นทางกฎหมายหรือมีเหตุอื่นตามที่กฎหมายกำหนด
ดังนั้นองค์กรไม่ควรมีเพียงปุ่ม “อนุมัติลบ” หรือ “ปฏิเสธ”
องค์กรควรตอบได้ด้วยว่า
| คำถาม | สิ่งที่องค์กรควรรู้ |
|---|---|
| ใครเป็นคนขอลบ | ต้องตรวจสอบตัวบุคคลให้เหมาะสม |
| ข้อมูลอยู่ที่ไหน | ระบบหลัก ระบบย่อย ผู้รับจ้าง และสำรอง |
| ลบได้หรือไม่ | ต้องตรวจเงื่อนไขตามกฎหมาย |
| ใครเป็นผู้ดำเนินการ | ต้องมีเจ้าภาพชัดเจน |
| ทำแล้วเมื่อใด | ต้องมีหลักฐาน |
| แจ้งเจ้าของข้อมูลแล้วหรือยัง | ต้องติดตามจนปิดคำขอ |
กฎหมายไทยกำหนดสิทธิขอลบไว้ในมาตรา 33 และยังมีประกาศปี 2567 ที่กำหนดรายละเอียดการดำเนินการเพิ่มเติมด้วย
ธุรกิจไทยมีเวลาเท่าไรในการจัดการคำขอลบข้อมูล
สำหรับคำขอลบตามมาตรา 33 ที่ไม่เข้าข้อยกเว้น ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2567 กำหนดให้ผู้ควบคุมข้อมูลดำเนินการโดยไม่ชักช้า และต้องไม่เกิน 30 วันนับแต่วันที่ได้รับคำขอ
ตรงนี้ต้องแยกออกจาก GDPR ของยุโรปให้ชัด เพราะ GDPR มีหลักเรื่องการตอบสนองโดยทั่วไปภายในหนึ่งเดือนภายใต้เงื่อนไขของมาตรา 12 ขณะที่กติกาไทยสำหรับการดำเนินการลบตามประกาศปี 2567 ใช้กรอบสูงสุด 90 วัน
| ประเด็น | GDPR | PDPA ไทย |
|---|---|---|
| สิทธิลบข้อมูล | Article 17 | มาตรา 33 |
| หน้าที่เกี่ยวกับคำขอ | Article 12 | PDPA + ประกาศที่เกี่ยวข้อง |
| กรอบสำคัญ | โดยทั่วไป 1 เดือนสำหรับการตอบ | ลบตามคำขอโดยไม่ชักช้า และไม่เกิน 90 วันในกรณีตามประกาศ |
| ข้อมูลสำรอง | ต้องพิจารณาตามกรอบกฎหมายและมาตรการที่เกี่ยวข้อง | ประกาศไทยระบุให้ครอบคลุมข้อมูลที่ทำสำเนาหรือสำรองไว้ |
ดังนั้น การนำตัวเลข “1 เดือน” จาก GDPR มาเขียนว่าเป็นกำหนดตายตัวของ PDPA ไทยจะทำให้บทความคลาดเคลื่อนได้
ทำไมข้อมูลสำรองถึงกลายเป็นเรื่องสำคัญ
กฎหมายไทยไม่ได้มองเฉพาะฐานข้อมูลหลัก เพราะประกาศปี 2567 ระบุว่าการลบหรือทำลายต้องครอบคลุมข้อมูลที่ทำสำเนาหรือสำรองไว้ด้วย และต้องทำให้แน่ใจว่าไม่สามารถกู้คืนข้อมูลกลับมาเชื่อมโยงถึงเจ้าของข้อมูลได้ในลักษณะที่คาดหมายได้อย่างสมเหตุสมผล
เรื่องนี้เป็นจุดที่ฝ่ายบริหารหลายองค์กรอาจมองข้าม
เพราะ IT อาจตอบว่า
“ลบจาก Production แล้ว”
แต่ยังมีข้อมูลอยู่ใน Backup
หรือข้อมูลยังอยู่ในระบบของ Vendor
หรือมีไฟล์ Export อยู่ในเครื่องของพนักงาน
หรืออยู่ในระบบ Ticket
หรืออยู่ในระบบ CRM เดิม
ดังนั้นคำว่า “ลบข้อมูลแล้ว” ต้องมีความหมายมากกว่าการลบจากหน้าจอหนึ่งหน้า
ถ้าคำขอครอบคลุมข้อมูลชุดเดียวกัน
องค์กรต้องรู้ว่าข้อมูลนั้นไหลไปอยู่ตรงไหนบ้าง
และต้องมีวิธีจัดการที่เหมาะสมในแต่ละจุด
ประกาศไทยยังพูดถึงกรณีที่การลบทางเทคนิคไม่สามารถทำเสร็จภายในเวลาที่กำหนด เช่น ข้อมูลบางส่วนยังคงอยู่ชั่วคราวก่อนถูกเขียนทับ โดยองค์กรต้องใช้มาตรการด้านองค์กรและด้านเทคนิคเพื่อจำกัดการนำข้อมูลนั้นกลับมาใช้หรือเปิดเผยระหว่างรอการลบอย่างสมบูรณ์
เคสนี้กำลังเตือนธุรกิจไทยเรื่องอะไร
บทเรียนจาก EXTIA สำหรับไทยคือ บริษัทไม่ควรออกแบบ PDPA เป็นเพียงเอกสารนโยบาย แต่ต้องออกแบบให้เป็นกระบวนการทำงานจริง
ธุรกิจจำนวนมากมี Privacy Notice แล้ว มีแบบฟอร์มใช้สิทธิแล้ว และอาจมี DPO แล้ว แต่เมื่อมีคำขอจริงกลับไม่รู้ว่าควรส่งต่อให้ใคร และไม่รู้ว่าข้อมูลของคนหนึ่งคนกระจายอยู่ในกี่ระบบ
นี่เป็นความเสี่ยงที่มองไม่เห็นจนกว่าจะมีคำขอจริง
ยิ่งองค์กรใหญ่ ความเสี่ยงยิ่งเพิ่ม เพราะข้อมูลหนึ่งคนอาจอยู่ทั้ง HR, CRM, Marketing, Customer Service, Cloud Storage, ระบบสำรอง และผู้ให้บริการภายนอก
ผลกระทบต่อประเทศไทยจึงไม่ได้อยู่เฉพาะบริษัทขนาดใหญ่
SME ก็เจอได้เหมือนกัน
ร้านค้าออนไลน์ที่มีฐานลูกค้าหลายหมื่นคน บริษัทรับสมัครงานที่เก็บ CV จำนวนมาก คลินิกที่เก็บข้อมูลผู้ป่วย หรือบริษัท Outsourcing ที่ถือข้อมูลพนักงานของลูกค้า ล้วนมีปัญหาแบบเดียวกันได้
จุดที่ผู้บริหารควรถามไม่ใช่ “เรามี Privacy Policy หรือยัง”
แต่ควรถามว่า
“ถ้ามีคนขอลบข้อมูลตอน 9 โมงเช้าวันจันทร์ เรารู้หรือไม่ว่าใครต้องทำอะไรต่อ และเราพิสูจน์ได้หรือไม่ว่าเราทำครบแล้ว”
นี่คือคำถามที่สำคัญกว่าการมีเอกสารสวย ๆ อยู่ในเว็บไซต์
จากกรณี EXTIA CNIL ไม่ได้สนใจเพียงว่าบริษัทมีระบบอัตโนมัติหรือไม่ แต่พิจารณาว่าบุคคลได้รับการจัดการสิทธิของตนอย่างเหมาะสมหรือไม่ และบริษัทสามารถแสดงให้เห็นได้หรือไม่ว่าคำขอได้รับการดูแลจริง
สำหรับไทย ประเด็นนี้ยิ่งน่าสนใจ เพราะมีประกาศปี 2567 ที่ระบุรายละเอียดเกี่ยวกับการลบ การทำลาย การทำให้เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคล และการจัดการข้อมูลสำเนาหรือสำรองไว้อย่างชัดเจนขึ้นแล้ว
ดังนั้น สิ่งที่ธุรกิจควรเตรียมตั้งแต่วันนี้ไม่ใช่แค่ “ปุ่มลบ”
แต่คือ ระบบจัดการคำขอใช้สิทธิทั้งกระบวนการ
สิ่งที่ธุรกิจไทยควรทำต่อทันที
- กำหนดเจ้าภาพคำขอใช้สิทธิให้ชัดเจน
อย่าปล่อยให้คำขอเดินเข้าอีเมลของแต่ละแผนกแล้วรอคนจำได้ว่าต้องส่งต่อใคร - ทำรายการว่าข้อมูลหนึ่งคนอยู่ที่ไหนบ้าง
ตรวจทั้งระบบหลัก ระบบสำรอง Cloud, CRM, HR, Ticket และ Vendor ที่เกี่ยวข้อง - กำหนดขั้นตอนตรวจสอบคำขอก่อนลบ
ไม่ใช่ทุกคำขอจะลบได้ทันที ต้องตรวจเงื่อนไขตามกฎหมายก่อนดำเนินการ - เก็บหลักฐานทุกขั้นตอน
ควรรู้ว่าได้รับคำขอเมื่อใด ใครรับเรื่อง ใครตัดสินใจ ดำเนินการเมื่อใด และแจ้งเจ้าของข้อมูลเมื่อใด - ทดสอบคำขอจริงแบบจำลอง
อย่ารอให้มีเรื่องร้องเรียนแล้วค่อยพบว่าองค์กรไม่มีใครรู้ว่าจะต้องทำอะไร
DSAR Health-Check แบบง่าย
[1] รับคำขอ
[2] ตรวจตัวตน
[3] ตรวจสิทธิและข้อยกเว้น
[4] ค้นหาข้อมูล
[5] ตรวจ Vendor / Backup
[6] ลบ / ทำลาย / Anonymize
[7] บันทึกหลักฐาน
[8] แจ้งผล
[9] ปิดคำขอมุมมองผู้เชี่ยวชาญ
คดีนี้สำหรับผมไม่ได้สะท้อนว่า “บริษัทลบข้อมูลไม่ได้” แต่สะท้อนว่า “บริษัทควบคุมกระบวนการใช้สิทธิไม่ได้” มากกว่า เมื่อคนขอลบข้อมูล บริษัทต้องตอบให้ได้ตั้งแต่รับคำขอจนจบว่า ใครรับเรื่อง ข้อมูลอยู่ที่ไหน ลบตรงไหน และแจ้งเจ้าของข้อมูลแล้วหรือยัง เพราะวันหนึ่งสิ่งที่ถูกถามอาจไม่ใช่แค่ว่า “ลบหรือยัง” แต่คือ “มีหลักฐานหรือไม่ว่าคุณจัดการสิทธินี้อย่างจริงจัง”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
CNIL — Non-respect des droits des personnes : sanction de 300 000 euros à l’encontre de la société EXTIA
แหล่งข่าวต้นทาง: Commission Nationale de l’Informatique et des Libertés (CNIL), เผยแพร่ 9 กันยายน 2569
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 33
ราชกิจจานุเบกษา: บทบัญญัติเรื่องสิทธิขอให้ลบหรือทำลายข้อมูลส่วนบุคคล
ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2567
เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ โดยกำหนดการดำเนินการโดยไม่ชักช้าและไม่เกิน 90 วัน รวมถึงข้อมูลสำเนาและข้อมูลสำรอง
CNIL — The right to erasure
คำอธิบายของ CNIL เกี่ยวกับสิทธิในการลบข้อมูลตาม GDPR และหลักเรื่องกรอบเวลาการตอบสนองคำขอ
YMYL Disclaimer
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย
หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
