สรุปกฎใหม่ PDPA 2569! ราชกิจจานุเบกษาได้เผยแพร่ ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ฉบับล่าสุด เรื่อง หลักเกณฑ์การเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคล พ.ศ. 2569 เพื่อกำหนดแนวทางปฏิบัติการใช้สิทธิ DSAR (Data Subject Access Request) ให้ชัดเจนและมีมาตรฐานเดียวกัน บทความนี้สรุปประเด็นสำคัญที่ องค์กร ผู้ควบคุมข้อมูล (Data Controller) และเจ้าหน้าที่ DPO ต้องรู้ พร้อมแนวทางการปรับตัวเพื่อป้องกันความเสี่ยงจากการละเมิดกฎหมาย PDPA
1. ใครบ้างที่มีสิทธิยื่นคำขอเข้าถึงและขอรับสำเนาข้อมูล?
ผู้มีสิทธิตามกฎหมายในการยื่นคำขอ ได้แก่:
- เจ้าของข้อมูลส่วนบุคคล (Data Subject)
- ผู้ใช้อำนาจปกครอง (กรณีผู้เยาว์ ผู้อนุบาล หรือผู้พิทักษ์)
- ผู้รับมอบอำนาจ ที่ได้รับหนังสือมอบอำนาจอย่างถูกต้อง
2. ข้อมูลประเภทไหนบ้างที่องค์กร “ต้องจัดเตรียมให้”?
เมื่อได้รับคำขอ องค์กรต้องเตรียมรายการข้อมูลดังต่อไปนี้ให้แก่ผู้ยื่นคำขอ:
- ข้อมูลส่วนบุคคลทั้งหมดที่จัดเก็บ: ทั้งข้อมูลที่รวบรวมจากเจ้าของข้อมูลโดยตรง และข้อมูลที่ได้มาจากแหล่งอื่น
- แหล่งที่มาของข้อมูล: ในกรณีที่จัดเก็บมาจากแหล่งอื่นโดยไม่ได้ขอความยินยอมไว้ตั้งแต่แรก (เปิดเผยเท่าที่ทำได้)
- นโยบายความเป็นส่วนตัว (Privacy Notice): รายละเอียดตามมาตรา 23 แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
- บันทึกรายการกิจกรรมการประมวลผล (RoPA): รายการบันทึกตามมาตรา 39 ที่เกี่ยวข้องกับผู้ขอ
3. กรอบระยะเวลาตามกฎหมาย: องค์กรต้องทำตาม Timeline นี้!
เพื่อไม่ให้ขัดต่อกฎหมาย PDPA องค์กรต้องบริหารจัดการเวลาในการตอบสนองคำขอให้ทันกำหนด ดังนี้:
- ภายใน 15 วันแรก (ตรวจหลักฐาน & ยืนยันตัวตน): ตรวจสอบเอกสาร คำขอ และดำเนินการยืนยันตัวตน (Identity Verification) ให้เสร็จสิ้น
- กรณีเอกสารไม่ครบ: ต้องแจ้งให้ผู้ข่อยื่นแก้ไขภายในเวลาที่กำหนด (ต้องไม่น้อยกว่า 10 วัน) หากผู้ขอเพิกเฉยไม่ส่งเอกสารตามกำหนด ให้ถือว่า “ยกเลิกคำขอ”
- ภายใน 30 วัน (ส่งมอบข้อมูล): ดำเนินการจัดส่งมอบข้อมูลหรือสำเนาให้เสร็จสิ้น โดยนับจากวันที่ได้รับเอกสารที่ถูกต้องครบถ้วน
- การขอขยายเวลา (Extension): หากข้อมูลมีปริมาณมากหรือมีความซับซ้อน สามารถขอขยายเวลาได้ ไม่เกิน 30 วัน แต่ต้องแจ้งเหตุผลความจำเป็นให้ผู้ขอทราบก่อนครบกำหนด 30 วันแรก
4. เกณฑ์การปฏิเสธคำขอ: กรณีไหนที่องค์กร “มีสิทธิปฏิเสธ”?
องค์กรสามารถปฏิเสธคำขอเข้าถึงหรือรับสำเนาข้อมูลได้เฉพาะกรณีที่เข้าเงื่อนไขต่อไปนี้:
- มีกฎหมายอื่น หรือคำสั่งศาลห้ามไว้
- การให้ข้อมูลส่งผลกระทบและ ละเมิดสิทธิ/เสรีภาพของบุคคลอื่น หรือกระทบต่อ ความลับทางการค้า (Trade Secret)
- ข้อควรระวัง: หากสามารถเซ็นเซอร์หรือคาดดำ (Redact) ข้อมูลของบุคคลอื่นออกได้ องค์กรยังคงมีหน้าที่ต้องจัดส่งข้อมูลส่วนที่เหลือให้แก่ผู้ขอ
- เป็นคำขอที่ไม่มีสาระสำคัญ (Frivolous Request) หรือจงใจสร้างภาระให้องค์กรเกินสมควร
หน้าที่สำคัญขององค์กรเมื่อปฏิเสธ: ต้องแจ้งเหตุผลการปฏิเสธให้ผู้ขอทราบ และ ต้องบันทึกประวัติและเหตุผลการปฏิเสธไว้ในระบบ RoPA (มาตรา 39) เพื่อใช้เป็นหลักฐานตรวจสอบในอนาคต
5. อัตราค่าธรรมเนียม: คิดเงินได้ไหม? เก็บได้เท่าไร?
- ห้ามเรียกเก็บค่าธรรมเนียม: กรณีจัดส่งหรือให้เข้าถึงผ่าน ช่องทางอิเล็กทรอนิกส์ ซึ่งองค์กรไม่ต้องจัดทำสื่อบันทึกเฉพาะ และไม่มีค่าใช้จ่ายในการจัดส่งโดยตรง
- กรณีเรียกเก็บค่าธรรมเนียมได้: ต้องสมเหตุสมผล ไม่เกินต้นทุนที่เกิดขึ้นจริง และไม่เกินอัตราเพดานตามท้ายประกาศ สคส. เช่น:
- ถ่ายเอกสาร (A4 ขาว-ดำ): ไม่เกินหน้าละ 1 บาท
- พิมพ์จากคอมพิวเตอร์ (A4 ขาว-ดำ): ไม่เกินหน้าละ 3 บาท
- ค่าเซ็นรับรองสำเนาถูกต้อง: ไม่เกินครั้งละ 5 บาท
(หมายเหตุ: องค์กรต้องแจ้งอัตราค่าธรรมเนียมให้ทราบก่อนหรือขณะใช้สิทธิ และพิจารณายกเว้นหรือลดหย่อนให้แก่ผู้มีรายได้น้อย)
6. การจัดเก็บประวัติคำขอ (Record Keeping)
เมื่อดำเนินการเสร็จสิ้น (หรือปฏิเสธคำขอแล้ว) องค์กรมีหน้าที่ต้องจัดเก็บประวัติคำขอ หลักฐานการยืนยันตัวตน และบันทึกการทำงานทั้งหมด ไว้ไม่น้อยกว่า 2 ปี เพื่อใช้เป็นหลักฐานยืนยันการปฏิบัติตามกฎหมายหากมีการตรวจสอบจาก สคส. (แนะนำให้จัดเก็บในรูปแบบระบบอิเล็กทรอนิกส์ที่มีความปลอดภัยสูง)
⚠️ ความท้าทายขององค์กรเมื่อปฏิบัติตามกฎใหม่ PDPA 2569
การจัดการคำขอใช้สิทธิ (DSAR) ตามกรอบเวลา 15–30 วัน ไม่ใช่เรื่องง่ายหากองค์กรยังใช้เอกสารกระดาษหรือระบบอีเมลทั่วไป เนื่องจากมีข้อจำกัด เช่น:
- การยืนยันตัวตนผู้ขอสิทธิที่หนาแน่นและซับซ้อน
- การค้นหาข้อมูลส่วนบุคคลที่กระจัดกระจายอยู่ในหลายระบบ
- การลืมบันทึกประวัติการปฏิเสธคำขอลงใน RoPA
- การจัดเก็บประวัติคำขอย้อนหลัง 2 ปีให้ปลอดภัยตามมาตรฐาน
ยกระดับการจัดการ PDPA ในองค์กรให้เป็นเรื่องง่ายด้วย wisework ปรึกษาเรา
องค์กรของคุณเคยได้รับคำร้องขอใช้สิทธิ์ PDPA หรือเปล่า? รู้หรือไม่…หากไม่ดำเนินการมีความผิดตาม พ.ร.บ.ฯ นะ! หมดกังวลเรื่องข้อผิดพลาดและความล่าช้าในการจัดการคำขอสิทธิเจ้าของข้อมูลด้วย PDPA Management Platform
✅ DSAR Workflow: เวิร์คโฟลวระบบรับคำขอและแจ้งเตือน Timeline 15-30 วัน อัตโนมัติ ป้องกันการตอบกลับล่าช้า และบริหารจัดการอย่างเป็นระบบ
✅ Identity Verification System: ยืนยันตัวตนผู้ใช้สิทธิอย่างปลอดภัย พร้อมรองรับกรณีรับมอบอำนาจ
✅ ผู้ใช้งานติดตามสถานะ แจ้งความคืบหน้าของการดำเนินการ พร้อมการจัดเก็บและบันทึกประวัติการจัดการ รองรับการตรวจสอบย้อนหลัง
✅ PDPA Compliance Audit & Consulting: บริการให้คำปรึกษาโดยผู้เชี่ยวชาญทั้งด้านกฎหมายและ IT Security
(เอกสารอ้างอิงประกาศฉบับเต็มจากราชกิจจานุเบกษา: คลิกอ่านเอกสารฉบับเต็ม)