สิทธิขอสำเนาข้อมูลส่วนบุคคล PDPA 2569: องค์กรต้องตอบภายใน 30 วัน เริ่ม 14 กันยายน

ประกาศฉบับนี้คืออะไร และทำไมเพิ่งมีตอนนี้

PDPA ให้สิทธิเข้าถึงข้อมูล (Right of Access) ไว้ตั้งแต่มาตรา 30 ของกฎหมายที่ประกาศใช้เมื่อปี 2562 แล้ว แต่ตัวกฎหมายเขียนไว้กว้าง ๆ ว่า "ต้องดำเนินการโดยไม่ชักช้า" โดยไม่ได้ระบุรายละเอียดว่าคำขอต้องมีรูปแบบอย่างไร องค์กรจะเรียกเก็บค่าใช้จ่ายได้ไหม หรือจะปฏิเสธได้ในกรณีใดบ้าง ช่องว่างนี้ทำให้ที่ผ่านมาแต่ละองค์กรตีความกันไปคนละแบบ

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคลฯ พ.ศ. 2569 คือการเติมรายละเอียดเหล่านั้น ประกาศลงราชกิจจานุเบกษา เล่ม 143 ตอนพิเศษ 175 ง วันที่ 16 กรกฎาคม 2569 และกำหนดให้ใช้บังคับเมื่อพ้น 60 วันนับแต่วันประกาศ นั่นคือ 14 กันยายน 2569 องค์กรจึงมีเวลาเตรียมตัวประมาณ 2 เดือน

องค์กรต้องทำอะไรบ้างเมื่อได้รับคำขอ

ประกาศวางกระบวนการไว้เป็นลำดับ ตั้งแต่การเปิดช่องทางรับคำขอ ไปจนถึงการเก็บหลักฐาน จุดที่ต้องอ่านให้ละเอียดคือ "ช่องทางขั้นต่ำ" และ "การพิสูจน์ตัวตน" เพราะทั้งสองเรื่องนี้เป็นภาระที่ต้องออกแบบไว้ล่วงหน้า ไม่ใช่แก้เฉพาะหน้าตอนมีคำขอเข้ามา

ปฏิเสธคำขอได้ในกรณีใดบ้าง

สิทธินี้ไม่ใช่สิทธิเด็ดขาด ประกาศเปิดช่องให้ปฏิเสธได้ แต่เป็นช่องที่แคบและต้องบันทึกเหตุผลไว้เสมอ การปฏิเสธแบบลอย ๆ ว่า "ให้ไม่ได้" โดยไม่มีฐานทางกฎหมายรองรับคือจุดที่องค์กรจะมีปัญหา

ทำไมองค์กรส่วนใหญ่จะตอบไม่ทัน 30 วัน

เส้นตาย 30 วันฟังดูยาว แต่ปัญหาไม่ได้อยู่ที่การเขียนหนังสือตอบ — อยู่ที่การ "หาข้อมูลให้ครบ" ลองนับดูว่าข้อมูลของพนักงานหนึ่งคนในองค์กรทั่วไปกระจายอยู่กี่ที่: ระบบ HR, ไฟล์เงินเดือนใน Excel ของฝ่ายบัญชี, ทะเบียนผู้ติดต่อของฝ่ายจัดซื้อ, ระบบสแกนนิ้ว, กล้องวงจรปิด, ไฟล์แนบในอีเมล และแฟ้มกระดาษที่ฝ่ายบุคคลเก็บไว้

เมื่อข้อมูลกระจายแบบนี้ การตอบคำขอหนึ่งครั้งต้องอาศัยการเดินไปถามทีละแผนก ซึ่งเป็นอาการเดียวกับที่ทำให้ การใช้ Excel เก็บข้อมูลสำคัญขององค์กร กลายเป็นความเสี่ยง และเป็นเหตุผลเดียวกับที่หลายองค์กรปิดงบช้า เพราะไม่มีแหล่งข้อมูลกลางที่เชื่อถือได้

เช็กลิสต์ก่อน 14 กันยายน 2569

สิ่งที่ควรทำในช่วง 2 เดือนนี้ไม่ใช่การซื้อซอฟต์แวร์ใหม่ แต่คือการทำให้รู้ก่อนว่า "องค์กรเก็บข้อมูลอะไรของใครไว้ที่ไหนบ้าง" ซึ่งเป็นงานเดียวกับการทำบันทึกรายการกิจกรรมการประมวลผล (RoPA) ที่ PDPA กำหนดไว้อยู่แล้ว

• ทำแผนที่ข้อมูล — ไล่ว่าข้อมูลส่วนบุคคลอยู่ในระบบใดบ้าง ใครเป็นเจ้าของระบบ และดึงออกมาได้ด้วยวิธีไหน
• กำหนดช่องทางรับคำขอให้ชัด — อย่างน้อยต้องมีที่อยู่สำนักงานและไปรษณีย์ พร้อมประกาศไว้ในนโยบายความเป็นส่วนตัวบนเว็บไซต์
• เขียนขั้นตอนพิสูจน์ตัวตน — ระบุว่าจะขอเอกสารอะไร ใครเป็นผู้ตรวจ และเก็บหลักฐานการตรวจอย่างไร
• ตั้งนาฬิกาจับเวลา — มีทะเบียนคำขอที่ระบุวันรับ วันครบกำหนด 30 วัน และสถานะ เพื่อไม่ให้เลยกำหนดโดยไม่มีใครรู้
• ซ้อมจริงหนึ่งรอบ — ลองสมมติคำขอของพนักงานหนึ่งคน แล้วจับเวลาว่าใช้เวลาเท่าไรจึงรวบรวมได้ครบ นี่คือตัวเลขที่บอกความพร้อมได้ตรงที่สุด

ระบบ ERP ช่วยเรื่องนี้ได้แค่ไหน (และไม่ได้แค่ไหน)

ต้องพูดกันตรง ๆ ก่อนว่า ERP ไม่ใช่ระบบบริหารคำขอ PDPA และไม่มีปุ่ม "ตอบคำขอสิทธิ์" ให้กดสำเร็จรูป สิ่งที่ ERP ช่วยได้คือการลดขนาดของปัญหาต้นทาง — เมื่อข้อมูลพนักงาน คู่ค้า ลูกหนี้ และเจ้าหนี้ ถูกเก็บอยู่ในฐานข้อมูลกลางแทนที่จะกระจายเป็นไฟล์รายแผนก การค้นหาว่า "บุคคลนี้มีข้อมูลอะไรอยู่ในระบบบ้าง" จึงกลายเป็นการค้นจากที่เดียว

Saeree ERP เก็บข้อมูลหลักไว้บน PostgreSQL ชุดเดียว มีการกำหนดสิทธิ์ผู้ใช้รายเมนู ตั้งผู้ใช้เป็น inactive และกำหนดช่วงเวลาที่บัญชีใช้งานได้ (valid from–to) โดยผู้ดูแลระบบขององค์กรทำเองได้ ทั้งหมดนี้มีร่องรอยการบันทึกว่าใครแก้ไขรายการใดเมื่อไร ซึ่งเป็นสิ่งที่ต้องใช้ทั้งตอนรวบรวมข้อมูลตอบคำขอ และตอนต้องพิสูจน์ว่าองค์กรควบคุมการเข้าถึงข้อมูลอย่างเหมาะสมจริง

อีกจุดที่เกี่ยวข้องคือทางเลือกในการติดตั้ง องค์กรที่ต้องอธิบายให้ผู้ตรวจสอบฟังว่าข้อมูลส่วนบุคคลอยู่ที่ใด มักเลือกติดตั้งแบบ on-premise ในศูนย์ข้อมูลของตนเอง ซึ่งเป็นประเด็นเดียวกับที่เราเคยเขียนไว้ในบทความ On-Premise หรือ Cloud เลือกแบบไหนดี ส่วนด้านการเข้าถึงระบบ Saeree ERP รองรับ การยืนยันตัวตนสองชั้น (2FA) เพื่อลดความเสี่ยงจากบัญชีผู้ใช้ถูกสวมรอย — ซึ่งเป็นความเสี่ยงเดียวกับที่ทำให้เกิด เหตุข้อมูลรั่วไหลขนาดใหญ่ในไทย

สรุป

ประกาศหลักเกณฑ์การเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคล พ.ศ. 2569 ไม่ได้สร้างสิทธิใหม่ เพราะสิทธิตามมาตรา 30 มีมาตั้งแต่ปี 2562 แล้ว สิ่งที่เปลี่ยนคือความชัดเจน — จากเดิมที่กฎหมายบอกเพียงว่า "โดยไม่ชักช้า" ตอนนี้มีกรอบ 30 วัน มีเพดานค่าธรรมเนียม มีเหตุปฏิเสธที่ระบุไว้ และมีหน้าที่เก็บหลักฐาน 2 ปี

ความชัดเจนแบบนี้เป็นเรื่องดีสำหรับองค์กรที่เตรียมตัวไว้ และเป็นความเสี่ยงสำหรับองค์กรที่ยังไม่รู้ว่าตัวเองเก็บข้อมูลของใครไว้ที่ไหนบ้าง เวลาที่เหลือก่อน 14 กันยายน 2569 เพียงพอสำหรับการทำแผนที่ข้อมูลและซ้อมตอบคำขอหนึ่งรอบ ซึ่งเป็นสองอย่างที่ให้ผลตอบแทนสูงที่สุดในตอนนี้

"เส้นตาย 30 วันไม่ได้วัดว่าองค์กรตอบจดหมายเร็วแค่ไหน แต่วัดว่าองค์กรรู้จักข้อมูลของตัวเองดีแค่ไหน"

- ทีมงาน Saeree ERP

แหล่งอ้างอิง

• iT24Hrs — กฎใหม่ PDPA ประชาชนขอสำเนาข้อมูลส่วนบุคคลได้ องค์กรต้องตอบภายใน 30 วัน ลงราชกิจจาฯ แล้ว (ก.ค. 2569)
• ราชกิจจานุเบกษา — พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (มาตรา 30 และมาตรา 82)
• ราชกิจจานุเบกษา — ระบบสืบค้นประกาศ (เล่ม 143 ตอนพิเศษ 175 ง)
• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)

ตรวจสอบข้อมูลล่าสุดเมื่อ 20 กรกฎาคม 2569