PDPA ขอสำเนาข้อมูล คือสิทธิของลูกค้า พนักงาน หรือใครก็ตามที่องค์กรเก็บข้อมูลไว้ ในการขอดูและขอรับสำเนาข้อมูลส่วนบุคคลของตัวเอง ตอนนี้มีประกาศของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนดกติกาชัดเจนแล้ว บทความนี้เหมาะกับ HR, Call center, ฝ่ายไอที และ DPO จะได้รู้ว่าต้องตอบภายในกี่วัน คิดเงินได้แค่ไหน และปฏิเสธได้เมื่อไร
ลองนึกภาพพนักงานที่เพิ่งถูกเลิกจ้าง ส่งอีเมลมาขอสำเนาข้อมูลของตัวเองทั้งหมดที่บริษัทเก็บไว้ ฝ่าย HR จะเปิดระบบไหนบ้าง และต้องส่งภายในวันไหน กฎ PDPA ขอสำเนาข้อมูลฉบับใหม่ตอบคำถามเหล่านี้แล้ว และมีผลตั้งแต่ 14 กันยายน 2569
สรุปสั้น: ประกาศ สคส. เรื่องการเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคล พ.ศ. 2569 มีผลตั้งแต่ 14 ก.ย. 2569 องค์กรต้องตอบคำขอภายใน 30 วัน ขยายได้อีก 30 วันถ้าซับซ้อน สำเนาทางอิเล็กทรอนิกส์โดยทั่วไปไม่เก็บเงิน ถ้าเก็บต้องไม่เกินต้นทุนจริง และต้องเก็บบันทึกคำขอพร้อมหลักฐานอย่างน้อย 2 ปี
กฎ PDPA ขอสำเนาข้อมูล ฉบับใหม่ คืออะไร มีผลเมื่อไร
กฎ PDPA ขอสำเนาข้อมูลฉบับใหม่คือ ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคล พ.ศ. 2569 ลงราชกิจจานุเบกษา เล่ม 143 ตอนพิเศษ 175 ง เมื่อ 16 กรกฎาคม 2569 และมีผล 60 วันหลังประกาศ คือ 14 กันยายน 2569
ประกาศนี้ใช้กับผู้ควบคุมข้อมูลส่วนบุคคลทุกรายในไทย ทั้งหน่วยงานรัฐและเอกชน พูดง่าย ๆ คือ ต่อจากนี้ สคส. มีไม้บรรทัดชัดเจนสำหรับวัดว่าองค์กรตอบคำขอเข้าถึงข้อมูลได้ถูกต้องหรือไม่
| ประเด็น | กติกาตามประกาศ |
|---|---|
| วันมีผล | 14 ก.ย. 2569 (ราชกิจจาฯ 16 ก.ค. 2569 + 60 วัน) |
| กรอบเวลาตอบ | 30 วันนับแต่ได้รับคำขอ ขยายได้อีก 30 วันถ้าซับซ้อน |
| ค่าธรรมเนียม | สำเนาอิเล็กทรอนิกส์โดยทั่วไปไม่เก็บ ถ้าเก็บต้องไม่เกินต้นทุนจริง |
| ตัวอย่างอัตรา | สำเนา A4 ≤ 1 บาท/หน้า · พิมพ์จากคอมพิวเตอร์ ≤ 3 บาท · รับรองสำเนา ≤ 5 บาท/ฉบับ |
| รูปแบบไฟล์ | คำขอทางอิเล็กทรอนิกส์ ควรตอบเป็นไฟล์ เช่น PDF หรือ CSV |
| เก็บหลักฐาน | บันทึกคำขอพร้อมหลักฐานอย่างน้อย 2 ปี |
PDPA ขอสำเนาข้อมูล กระทบธุรกิจไทยอย่างไร
PDPA ขอสำเนาข้อมูลกระทบทุกองค์กรที่มีข้อมูลลูกค้าหรือพนักงาน เพราะกรอบ 30 วันบังคับให้ต้องหาข้อมูลจากทุกระบบให้ทัน ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน แยกตามคนที่ต้องลงมือทำจริง
ฝ่าย HR ต้องรับมือคำขอจากพนักงานอย่างไร
ฝ่าย HR ต้องมีขั้นตอนรับคำขอ ยืนยันตัวตน และดึงข้อมูลจากทุกระบบ ทั้งระบบเงินเดือน ระบบประเมินผล อีเมล และแฟ้มกระดาษ คำขอจากพนักงานที่ถูกเลิกจ้างมักมาก่อนการฟ้องคดีแรงงาน
ผู้เขียนมองว่าคำขอเข้าถึงข้อมูลกำลังจะถูกใช้เป็นเครื่องมือหาหลักฐานในข้อพิพาท ตัวอย่างสมมติ: พนักงานขอสำเนาบันทึกการประเมินผลและแชตที่หัวหน้าพูดถึงตัวเอง เพื่อใช้ประกอบคดีเลิกจ้างไม่เป็นธรรม ถ้า HR ส่งไม่ครบหรือส่งช้า ความบกพร่องนั้นก็อาจกลายเป็นประเด็นใหม่ในคดี
Call center และฝ่ายบริการลูกค้าต้องเตรียมอะไร
Call center ต้องแยกให้ออกว่าคำขอแบบไหนคือคำขอ PDPA ขอสำเนาข้อมูล และต้องส่งต่อให้ใคร เพราะนาฬิกา 30 วันเริ่มเดินตั้งแต่วันที่ได้รับคำขอ ไม่ใช่วันที่ DPO รู้เรื่อง ลูกค้าที่มีข้อพิพาทเรื่องสินค้าหรือบริการมักใช้ช่องทางนี้ก่อนร้องเรียนหรือฟ้อง
ปฏิเสธคำขอได้ในกรณีไหน
องค์กรปฏิเสธคำขอได้ในบางกรณี เช่น ขัดกฎหมายหรือคำสั่งศาล กระทบสิทธิของผู้อื่น เปิดเผยความลับทางการค้า หรือคำขอไม่ชัดเจนหรือเป็นภาระเกินสมควร แต่การปฏิเสธต้องมีเหตุผลที่บันทึกไว้ได้ เพราะทุกคำขอต้องเก็บหลักฐาน 2 ปี
ทำไมองค์กรที่ไม่มี RoPA จะตอบไม่ทัน
องค์กรที่ไม่มี RoPA ตาม PDPA มาตรา 39 จะไม่รู้ว่าข้อมูลของคนหนึ่งคนกระจายอยู่ในระบบไหนบ้าง จึงหาไม่ครบภายใน 30 วัน ความเสี่ยงนี้เป็นทั้งความเสี่ยงทางกฎหมายและความเสี่ยงในเชิงคดี องค์กรที่วางระบบดีอาจต่อยอดไปขอการรับรองได้ ดู สคส. ดัน PDPC Certification Mark เครื่องหมายรับรองการคุ้มครองข้อมูลส่วนบุคคล 16 องค์กรได้แล้ว ธุรกิจไทยควรเตรียมอะไร
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าองค์กรไม่เตรียมขั้นตอน PDPA ขอสำเนาข้อมูล ความเสี่ยงแรกคือตอบไม่ทัน 30 วัน และไม่มีบันทึกพิสูจน์ว่าได้รับคำขอวันไหน ทำอะไรไปแล้ว ความเสี่ยงที่สองคือส่งข้อมูลให้คนผิด เพราะไม่ได้ยืนยันตัวตนผู้ขอ ซึ่งกลายเป็นเหตุข้อมูลรั่วอีกเรื่อง ความเสี่ยงที่สามคือในคดีแรงงานหรือคดีผู้บริโภค การตอบคำขอไม่ครบจะทำให้องค์กรดูมีอะไรซ่อนอยู่
HR และ DPO ควรทำอะไรตอนนี้
HR และ DPO ควรทำขั้นตอน PDPA ขอสำเนาข้อมูลให้เป็นงานประจำ ไม่ใช่งานเฉพาะกิจที่ทำเมื่อมีคำขอ งานทั้งหมดนี้ทำเสร็จได้ในไม่กี่สัปดาห์
- 1. ทำแบบฟอร์มและช่องทางรับคำขอ (DSAR workflow) กำหนดช่องทางอีเมลหรือเว็บฟอร์ม และบอกพนักงานหน้าบ้านว่าต้องส่งต่อให้ใครภายในวันเดียว
- 2. วางขั้นตอนยืนยันตัวตนผู้ขอ ตรวจให้แน่ใจว่าเป็นเจ้าของข้อมูลจริงก่อนส่งสำเนา เพื่อไม่ให้ข้อมูลรั่วไปถึงคนอื่น
- 3. อัปเดต RoPA ให้ใช้ค้นข้อมูลได้จริง ระบุว่าข้อมูลแต่ละประเภทอยู่ในระบบไหน ใครเป็นคนดึงออกมาได้
- 4. ทำทะเบียนคำขอที่เก็บหลักฐานได้ 2 ปี บันทึกวันรับคำขอ สิ่งที่ส่ง วันที่ส่ง และเหตุผลถ้าปฏิเสธ
- 5. ซ้อมตอบคำขอจริง 1 รายการ ลองดึงข้อมูลของพนักงานหนึ่งคนออกมาเป็นไฟล์ PDF หรือ CSV แล้วจับเวลาว่าใช้กี่วัน
ถ้าต้องการคนช่วยวาง DSAR workflow และ RoPA ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และอ่านประเด็นอื่นได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
จากประสบการณ์ทำงานคดี คำขอสำเนาข้อมูลไม่ค่อยมาแบบไม่มีเหตุผล ส่วนใหญ่มาพร้อมข้อพิพาทที่กำลังจะเกิด คำขอสำเนาข้อมูลฉบับแรกขององค์กรคุณ อาจเป็นเอกสารชิ้นแรกในสำนวนคดีด้วย องค์กรที่ตอบได้ครบ ตรงเวลา และมีบันทึก จะเริ่มข้อพิพาทในตำแหน่งที่ดีกว่ามาก ผมจึงแนะนำให้ซ้อมก่อนคำขอจริงจะมา เพราะวันที่คำขอจริงมาถึง 30 วันผ่านไปเร็วกว่าที่คิด
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ PDPA ขอสำเนาข้อมูล
ขอสำเนาข้อมูลส่วนบุคคลแล้ว องค์กรต้องตอบภายในกี่วัน
องค์กรต้องดำเนินการตามคำขอภายใน 30 วันนับแต่ได้รับคำขอ ถ้าเป็นกรณีซับซ้อน ขยายได้อีก 30 วัน ตามประกาศ สคส. ที่มีผลตั้งแต่ 14 ก.ย. 2569
องค์กรเก็บค่าธรรมเนียมขอสำเนาข้อมูลได้ไหม เท่าไหร่
สำเนาทางอิเล็กทรอนิกส์โดยทั่วไปไม่เก็บค่าธรรมเนียม ถ้าเก็บได้ต้องไม่เกินต้นทุนจริง เช่น สำเนา A4 ไม่เกิน 1 บาทต่อหน้า พิมพ์จากคอมพิวเตอร์ไม่เกิน 3 บาท และรับรองสำเนาไม่เกิน 5 บาทต่อฉบับ
องค์กรปฏิเสธคำขอสำเนาข้อมูลได้หรือไม่
ปฏิเสธได้ในบางกรณี เช่น ขัดกฎหมายหรือคำสั่งศาล กระทบสิทธิผู้อื่น เปิดเผยความลับทางการค้า หรือคำขอไม่ชัดเจนหรือเป็นภาระเกินสมควร องค์กรควรบันทึกเหตุผลไว้ เพราะต้องเก็บหลักฐานคำขออย่างน้อย 2 ปี
ต้องส่งสำเนาข้อมูลเป็นไฟล์แบบไหน
ถ้าคำขอมาทางช่องทางอิเล็กทรอนิกส์ องค์กรควรส่งข้อมูลกลับในรูปแบบอิเล็กทรอนิกส์ เช่น PDF หรือ CSV เพื่อให้เจ้าของข้อมูลเปิดอ่านได้สะดวก
แหล่งอ้างอิง
- iT24Hrs — (อ่านต้นฉบับ) — อ่านสรุปประกาศที่ iT24Hrs
- มหาวิทยาลัยศรีปทุม คณะเทคโนโลยีสารสนเทศ — (อ่านต้นฉบับ) — อ่านบทความที่มหาวิทยาลัยศรีปทุม
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
[…] […]