ขอสำเนาข้อมูลส่วนบุคคล กฎใหม่ปี 2569 องค์กรต้องทำอะไรบ้าง ฉบับทนาย

เมื่อพนักงานคนหนึ่งลาออกแล้วส่งอีเมลมาว่า "ขอสำเนาข้อมูลทั้งหมดที่บริษัทเก็บเกี่ยวกับผม" หรือลูกค้าโทรมาถามว่า "เอาเบอร์ผมมาจากไหน" คำถามแรกที่ผุดขึ้นในหัวผู้บริหารมักเป็น "ต้องให้ไหม" แต่คำถามที่ถูกต้องกว่าคือ "ต้องตอบภายในกี่วัน และถ้าไม่ให้ ต้องจดอะไรไว้" เพราะการขอสำเนาข้อมูลส่วนบุคคลไม่ใช่เรื่องมารยาททางธุรกิจอีกต่อไป แต่เป็นหน้าที่ตามกฎหมายที่มีนาฬิกาเดินอยู่ และประกาศฉบับใหม่ปี 2569 เพิ่งทำให้นาฬิกาเรือนนั้นชัดขึ้นกว่าเดิมมาก

เรื่องนี้เกิดขึ้นบ่อยแค่ไหน และมาจากใคร

ในทางปฏิบัติ คำขอใช้สิทธิเข้าถึงข้อมูลแทบไม่เคยมาจากคนที่ "อยากรู้เฉย ๆ" แต่มักมาจากคนที่กำลังจะมีข้อพิพาทกับองค์กร หรือมีอยู่แล้ว

• อดีตพนักงานที่ถูกเลิกจ้างแล้วขอแฟ้มประวัติทั้งหมด เพื่อเตรียมข้อมูลก่อนฟ้องศาลแรงงาน
• พนักงานที่อยู่ระหว่างถูกสอบสวนทางวินัย แล้วขอดูบันทึกการเข้าออก ภาพกล้องวงจรปิด หรือรายงานการสอบสวน
• ลูกค้าที่ได้รับโทรศัพท์ขายของ แล้วขอให้เปิดเผยว่าองค์กรได้เบอร์มาจากแหล่งใด
• คู่กรณีในคดีที่ใช้สิทธิตาม PDPA เป็นช่องทางรวบรวมพยานหลักฐานก่อนฟ้อง

นี่คือเหตุผลว่าทำไมคำขอลักษณะนี้จึงห้ามให้ฝ่ายธุรการตอบเองตามสัญชาตญาณ เพราะสิ่งที่ส่งออกไปในวันนี้ อาจกลายเป็นเอกสารที่อีกฝ่ายยื่นต่อศาลในอีกหกเดือนข้างหน้า

องค์กรส่วนใหญ่มักเข้าใจผิดตรงไหน

เข้าใจผิดที่ 1: "มีเวลา 30 วัน ค่อย ๆ ทำก็ได้" — ความจริง คือประกาศฉบับใหม่แยกกรอบเวลาเป็นสองชั้น ชั้นตรวจคำขอและยืนยันตัวตนต้องเสร็จภายใน 15 วัน ส่วน 30 วันคือชั้นดำเนินการตามคำขอ · ผลเสีย คือองค์กรที่คิดว่ามี 30 วันเต็ม มักปล่อยให้ 15 วันแรกผ่านไปโดยยังไม่ได้แตะคำขอเลย

เข้าใจผิดที่ 2: "เอกสารไม่ครบ ก็เก็บเงียบไว้ก่อน" — ความจริง คือถ้าเห็นว่าคำขอหรือหลักฐานไม่ถูกต้องหรือไม่ครบถ้วน ต้องแจ้งเป็นหนังสือหรือทางอิเล็กทรอนิกส์ให้แก้ไข โดยต้องให้เวลาไม่น้อยกว่า 10 วัน · ผลเสีย คือการเงียบไม่ทำให้นาฬิกาหยุด แต่ทำให้องค์กรอธิบายไม่ได้ว่าล่าช้าเพราะอะไร

เข้าใจผิดที่ 3: "ในไฟล์มีชื่อคนอื่นอยู่ด้วย เลยปฏิเสธทั้งคำขอ" — ความจริง คือประกาศกำหนดให้ดำเนินการ เท่าที่สามารถกระทำได้ โดยอาจลบ ตัดทอน หรือปกปิดเฉพาะส่วนที่กระทบผู้อื่น · ผลเสีย คือการปฏิเสธเหมารวมทั้งที่ปกปิดบางส่วนได้ กลายเป็นประเด็นให้ถูกร้องเรียน

เข้าใจผิดที่ 4: "ปฏิเสธไปแล้ว จบ" — ความจริง คือต้องแจ้งเหตุผลให้ผู้ยื่นทราบ และต้องบันทึกการปฏิเสธพร้อมเหตุผลไว้ในรายการตามมาตรา 39 · ผลเสีย คือวันที่ถูกเรียกตรวจ องค์กรมี "คำปฏิเสธ" แต่ไม่มี "หลักฐานว่าปฏิเสธโดยชอบ"

เข้าใจผิดที่ 5: "คิดค่าธรรมเนียมได้ทุกกรณี" — ความจริง คือถ้าให้ข้อมูลผ่านช่องทางอิเล็กทรอนิกส์ ไม่ต้องทำสื่อบันทึกรูปแบบเฉพาะ และไม่มีค่าขนส่งโดยตรง ต้องไม่เรียกเก็บค่าธรรมเนียม · ผลเสีย คือการเรียกเก็บโดยไม่มีฐาน กลายเป็นการสร้างอุปสรรคแก่การใช้สิทธิ (ดูเพดานค่าธรรมเนียมตามบัญชีท้ายประกาศ)

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า… การขอสำเนาข้อมูลเป็นงานเอกสารของฝ่ายไอทีหรือฝ่ายบุคคล ใครถือไฟล์ก็ส่งไฟล์ให้ไป จบ

แต่ในทางคดี กฎหมายและศาลมักมองว่า… คำขอใช้สิทธิคือ "จุดเริ่มต้นของการเก็บพยานหลักฐาน" ของอีกฝ่าย และเป็นจุดที่วัดว่าองค์กรมีระบบจริงหรือมีแค่เอกสารนโยบาย เพราะสิ่งที่ตอบกลับไปจะถูกนำไปเทียบกับสิ่งที่องค์กรเคยประกาศไว้ใน Privacy Notice ของตัวเอง

จุดเสี่ยงจริงอยู่ตรงนี้… ไม่ใช่ตรง "ให้หรือไม่ให้" แต่อยู่ตรงสามจุด — องค์กรค้นข้อมูลของคนคนเดียวจากทุกระบบไม่เจอครบ, ส่งไฟล์ที่มีข้อมูลของบุคคลอื่นปนไปโดยไม่ปกปิด (ซึ่งกลายเป็นเหตุละเมิดข้อมูลอีกเรื่องหนึ่งทันที), และปฏิเสธโดยไม่ได้จดเหตุผล

ทางเลือกที่ควรทำต่อคือ… วางขั้นตอนรับคำขอให้จบในกระบวนการเดียว (ดูผังงาน 7 ขั้น) ตั้งแต่ลงทะเบียนวันรับคำขอ ยืนยันตัวตน ค้นข้อมูลข้ามระบบ ปกปิดข้อมูลบุคคลที่สาม อนุมัติโดยผู้มีอำนาจ ไปจนถึงบันทึกผลและเหตุผล แล้วซ้อมกับเคสสมมติหนึ่งเคสก่อนของจริงจะมา

กฎใหม่ปี 2569 กำหนดกรอบเวลาไว้อย่างไร

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคลฯ พ.ศ. 2569 ประกาศในราชกิจจานุเบกษาเมื่อวันที่ 16 กรกฎาคม 2569 และกำหนดให้ใช้บังคับเมื่อพ้นกำหนดหกสิบวันนับแต่วันประกาศเป็นต้นไป หากต้องการอ่านสาระของประกาศแบบเจาะรายข้อ ดูได้ที่บทความสรุปประกาศ PDPA ปี 2569 ฉบับเต็ม

ขั้นตอน	กรอบเวลา	ข้อสังเกตสำหรับองค์กร
ตรวจรายละเอียดคำขอ เอกสารหลักฐาน และยืนยันว่าผู้ยื่นเป็นเจ้าของข้อมูลหรือผู้รับมอบอำนาจจริง	ไม่เกิน 15 วัน นับแต่วันที่ได้รับคำขอ	เป็นกรอบเวลาที่ถูกมองข้ามมากที่สุด
แจ้งให้แก้ไขคำขอหรือส่งเอกสารเพิ่มเติม เมื่อพบว่าไม่ถูกต้องหรือไม่ครบถ้วน	กำหนดเวลาให้ ไม่น้อยกว่า 10 วัน	เมื่อได้เอกสารครบแล้ว ให้ถือว่า "ได้รับคำขอ" ในวันนั้น นาฬิกาเริ่มนับใหม่
ดำเนินการตามคำขอ	โดยไม่ชักช้า แต่ ไม่เกิน 30 วัน นับแต่วันที่ได้รับคำขอ	ใช้เมื่อตรวจแล้วครบถ้วนและไม่เข้าเหตุปฏิเสธ
ขยายเวลา กรณีข้อมูลปริมาณมากหรือมีเหตุจำเป็นอื่น	ขยายได้อีก ไม่เกิน 30 วัน นับแต่วันครบกำหนดเดิม	ต้องแจ้งเหตุผลความจำเป็นและรายละเอียดให้ผู้ยื่นทราบ

หากผู้ยื่นไม่แก้ไขคำขอหรือไม่ส่งเอกสารเพิ่มเติมภายในกำหนด ให้ถือว่าละทิ้งคำขอ และองค์กรต้องแจ้งเป็นหนังสือหรือทางอิเล็กทรอนิกส์ให้ทราบ ทั้งนี้ไม่ตัดสิทธิที่จะยื่นคำขอนั้นใหม่ — แปลว่าคำขอที่ "ตกไป" ไม่ได้หายไปตลอดกาล และองค์กรที่ใช้วิธีขอเอกสารเพิ่มไปเรื่อย ๆ เพื่อถ่วงเวลา จะเจอคำขอชุดใหม่พร้อมประวัติที่ดูไม่ดีในชั้นชี้แจง

ปฏิเสธคำขอได้ในกรณีใดบ้าง

ประกาศกำหนดเหตุที่ปฏิเสธได้ไว้ค่อนข้างแคบ โดยสรุปคือ

• เป็นการปฏิเสธตามกฎหมายหรือคำสั่งศาล
• การดำเนินการตามคำขอจะส่งผลกระทบที่อาจก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของผู้อื่นตามกฎหมาย รวมถึงกรณีที่ปรากฏข้อมูลส่วนบุคคลของบุคคลอื่น หรือปรากฏความลับของทางราชการ ความลับทางการค้า ลิขสิทธิ์ หรือทรัพย์สินทางปัญญาอื่นใดของผู้อื่น
• คำขอมีลักษณะไม่เป็นสาระสำคัญอย่างชัดเจน หรือจะเป็นการเพิ่มภาระแก่ผู้ควบคุมข้อมูลโดยไม่มีเหตุผลอันสมควร

แต่ในกรณีที่ปฏิเสธเพราะกระทบสิทธิผู้อื่น ประกาศกำหนดชัดว่าองค์กร ต้องดำเนินการตามคำขอเท่าที่สามารถกระทำได้ โดยคำนึงถึงสิทธิและประโยชน์ของทั้งสองฝ่ายประกอบกัน และอาจลบ ตัดทอน หรือทำโดยประการอื่นที่ไม่เป็นการเปิดเผยส่วนที่กระทบผู้อื่นนั้นเสีย พูดง่าย ๆ คือกฎหมายคาดหวังให้ "ปิดทึบเฉพาะจุด" มากกว่า "ปฏิเสธทั้งฉบับ"

เมื่อปฏิเสธไม่ดำเนินการตามคำขอ ต้องแจ้งเหตุผลให้ผู้ยื่นทราบ และให้บันทึกการปฏิเสธคำขอพร้อมด้วยเหตุผลไว้ในรายการตามมาตรา 39 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ปลายทางถ้าพลาด เรื่องจะเดินไปทางไหน

สิ่งที่ทำให้เรื่องนี้ต่างจากงานเอกสารทั่วไป คือมีปลายทางที่จับต้องได้ ไม่ใช่แค่ "อาจถูกตำหนิ"

1. เจ้าของข้อมูลที่ไม่พอใจสามารถร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
2. คณะกรรมการผู้เชี่ยวชาญอาจเรียกให้ชี้แจง และหากเห็นว่าไม่ร้ายแรง โดยหลักจะสั่งให้แก้ไขหรือตักเตือนก่อน
3. หากร้ายแรง หรือคำสั่งให้แก้ไขหรือตักเตือนไม่เป็นผล จึงจะมีคำสั่งลงโทษปรับทางปกครอง
4. หน้าที่ บันทึกการปฏิเสธ อยู่ในมาตรา 30 วรรคสาม และผลของการไม่บันทึกคือรายการตามมาตรา 39 ไม่ครบ ซึ่งการไม่ปฏิบัติตามมาตรา 39 วรรคหนึ่ง มีโทษปรับทางปกครองไม่เกินหนึ่งล้านบาทตามมาตรา 82 · ส่วนมาตรา 30 วรรคสี่ ที่มาตรา 82 อ้างถึงโดยตรง คือหน้าที่ดำเนินการตามคำขอให้เสร็จภายใน 30 วัน ซึ่งเป็นคนละฐานกัน
5. คู่ขนานกันไป เจ้าของข้อมูลยังฟ้องแพ่งเรียกค่าสินไหมทดแทนได้อีกทางหนึ่ง และในกรณีของอดีตพนักงาน ข้อพิพาทมักไปจบที่ศาลแรงงานมากกว่าจบที่สำนักงาน

ประเด็นที่ควรจำคือ ลำดับ "ตักเตือนก่อน ปรับทีหลัง" ไม่ได้แปลว่าองค์กรมีสิทธิพลาดฟรีหนึ่งครั้ง เพราะประวัติการถูกตักเตือนและพฤติการณ์ว่าองค์กรเยียวยาหรือไม่ เป็นปัจจัยที่ถูกนำมาชั่งน้ำหนักในการกำหนดโทษรอบถัดไป

หลักฐานที่ต้องเก็บ ถ้าถูกเรียกตรวจจะเอาอะไรไปยัน

ประกาศกำหนดให้บันทึกรายละเอียดคำขอ เอกสารหลักฐานที่ได้รับ และการดำเนินการหรือการปฏิเสธ เก็บไว้ ไม่น้อยกว่า 2 ปี เพื่อประโยชน์ในการตรวจสอบและอ้างอิง โดยจะบันทึกในรูปแบบอิเล็กทรอนิกส์ก็ได้ ในทางปฏิบัติ แฟ้มหนึ่งคำขอควรมีอย่างน้อย

• ตัวคำขอฉบับที่ได้รับ พร้อมวันและเวลาที่รับ (นี่คือหลักฐานตั้งต้นของนาฬิกาทั้งสองเรือน)
• เอกสารยืนยันตัวตน และหนังสือมอบอำนาจพร้อมอากรแสตมป์ หากยื่นแทนกัน
• บันทึกว่าค้นจากระบบใดบ้าง ใครเป็นผู้ค้น และค้นเมื่อใด
• ไฟล์ฉบับก่อนปกปิดและฉบับหลังปกปิด พร้อมเหตุผลว่าปกปิดส่วนใดเพราะอะไร
• หนังสือแจ้งขยายเวลา พร้อมเหตุผลความจำเป็น (ถ้ามี)
• หนังสือแจ้งผลหรือหนังสือปฏิเสธพร้อมเหตุผล และการบันทึกลงรายการตามมาตรา 39
• หลักฐานช่องทางและวิธีการส่งมอบข้อมูล

ถ้าเป็นฝ่ายองค์กรหรือ HR ต้องเช็กอะไรก่อนวันบังคับใช้

• มีช่องทางยื่นคำขออย่างน้อยที่สถานที่ทำการและทางไปรษณีย์แล้วหรือยัง (ช่องทางอิเล็กทรอนิกส์เพิ่มได้ แต่ไม่ใช่ช่องทางบังคับ)
• ใครคือผู้รับคำขอ ใครตรวจ ใครอนุมัติ และใครลงนามหนังสือแจ้งผล — ระบุชื่อตำแหน่ง ไม่ใช่ระบุแค่ "ฝ่ายที่เกี่ยวข้อง"
• มีวิธียืนยันตัวตนที่รัดกุมพอจะกันมิจฉาชีพสวมรอย แต่ไม่สร้างอุปสรรคเกินสมควรแก่เจ้าของข้อมูล
• รู้หรือไม่ว่าข้อมูลของคนหนึ่งคนกระจายอยู่ในระบบใดบ้าง และค้นด้วยตัวระบุอะไร
• มีขั้นตอนปกปิดข้อมูลบุคคลที่สามก่อนส่งมอบหรือยัง โดยเฉพาะแชท อีเมล และภาพจากกล้อง
• ส่งไฟล์ด้วยช่องทางที่ปลอดภัยพอหรือไม่ (การส่งผิดคนในขั้นตอนนี้ กลายเป็นเหตุละเมิดข้อมูลอีกเรื่องทันที)
• เตรียมรายละเอียดตามมาตรา 23 และรายการบันทึกตามมาตรา 39 ให้อยู่ในสภาพที่ขอดูได้จริงหรือยัง
• มีที่เก็บบันทึกคำขอที่ค้นย้อนหลังได้ครบ 2 ปีหรือยัง และมีตารางระยะเวลาเก็บเอกสารรองรับหรือเปล่า
• เคยซ้อมกับเคสสมมติสักหนึ่งเคสหรือยังว่าทำได้จริงภายในกรอบเวลา

อีกฝ่ายอาจโต้แย้งอย่างไร

• "ที่ให้มาไม่ครบ" — โต้แย้งว่าองค์กรส่งเฉพาะข้อมูลจากระบบเดียว ทั้งที่ Privacy Notice ของบริษัทเองระบุว่าเก็บมากกว่านั้น จุดนี้แก้ยากถ้าเอกสารขององค์กรขัดกันเอง
• "ปกปิดเกินจำเป็น" — โต้แย้งว่าที่ปิดทึบไปนั้นไม่ใช่ข้อมูลของบุคคลอื่นจริง แต่เป็นการปิดเพื่อไม่ให้เห็นเนื้อหาที่เสียเปรียบ
• "อ้างว่าเป็นภาระ ทั้งที่เพิ่งขอครั้งแรก" — เหตุ "เพิ่มภาระโดยไม่มีเหตุผลอันสมควร" ใช้กับคำขอซ้ำซากหรือปริมาณมากผิดปกติ ไม่ใช่ใช้กับคำขอปกติที่องค์กรไม่อยากทำ
• "เรียกค่าธรรมเนียมทั้งที่ส่งทางอีเมล" — โต้แย้งว่าเข้าเงื่อนไขที่ประกาศห้ามเรียกเก็บ
• "ขยายเวลาโดยไม่บอกเหตุผล" — การขยายเวลาต้องแจ้งเหตุผลความจำเป็นและรายละเอียด ไม่ใช่แจ้งเพียงว่าขอเลื่อน

ก่อนวันบังคับใช้ ควรทำอะไรตามลำดับ

1. ตั้งเจ้าของกระบวนการหนึ่งคนให้ชัด และทำแบบฟอร์มคำขอกลางที่ครอบคลุมรายการที่ประกาศกำหนด
2. ทำบัญชีว่าข้อมูลของบุคคลหนึ่งคนอยู่ในระบบใดบ้าง และค้นด้วยตัวระบุอะไร
3. เขียนขั้นตอนตรวจคำขอและยืนยันตัวตนให้จบภายใน 15 วัน พร้อมจุดแจ้งเตือนล่วงหน้า
4. กำหนดเกณฑ์การปกปิดข้อมูลบุคคลที่สาม พร้อมตัวอย่างจริง 2–3 ตัวอย่างให้ทีมดูเป็นแนว
5. ทำแบบฟอร์มหนังสือ 4 ฉบับให้พร้อม — แจ้งให้ส่งเอกสารเพิ่ม, แจ้งขยายเวลา, แจ้งผล, แจ้งปฏิเสธพร้อมเหตุผล
6. ซ้อมหนึ่งรอบด้วยเคสสมมติของอดีตพนักงาน แล้วจับเวลาจริงว่าทำเสร็จในกรอบหรือไม่

กรณีแบบไหนที่ควรปรึกษาทนายก่อนตอบ

• ผู้ยื่นคำขอเป็นอดีตพนักงานที่มีข้อพิพาทค้างอยู่ หรือเพิ่งถูกเลิกจ้าง (อ่านต่อ: พนักงานลาออกแล้วขอสำเนาแฟ้มประวัติ นายจ้างต้องให้ถึงระดับไหน)
• ข้อมูลที่ขอเกี่ยวพันกับการสอบสวนทางวินัยหรือรายงานภายในที่ยังไม่สิ้นสุด
• ไฟล์ที่ต้องส่งมีข้อมูลของบุคคลอื่นปนอยู่มาก จนไม่แน่ใจว่าปกปิดพอหรือยัง
• องค์กรกำลังจะปฏิเสธคำขอ ไม่ว่าจะปฏิเสธทั้งหมดหรือบางส่วน
• มีคำขอเรื่องเดียวกันเข้ามาซ้ำหลายครั้งจนสงสัยว่าเป็นการใช้สิทธิเพื่อกดดัน
• ผู้ยื่นเป็นผู้รับมอบอำนาจ และเอกสารมอบอำนาจดูไม่สมบูรณ์
• องค์กรอยู่ในธุรกิจที่มีกฎหมายเฉพาะซ้อนทับ เช่น สถาบันการเงิน สถานพยาบาล หรือหน่วยงานของรัฐ

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

งานที่ปรึกษากฎหมาย PDPA สำหรับองค์กรของเราครอบคลุมเรื่องนี้โดยตรง โดยทีมของเราวางระบบข้อมูลพนักงานและขั้นตอนตอบคำขอใช้สิทธิ ให้ใช้ได้จริงในองค์กร ตั้งแต่แบบฟอร์มคำขอ เกณฑ์ยืนยันตัวตน แนวทางปกปิดข้อมูลบุคคลที่สาม ไปจนถึงร่างหนังสือแจ้งผลและหนังสือปฏิเสธที่เขียนแล้วใช้ยันได้ในชั้นชี้แจง และหากต้องการตรวจของเดิมที่ทำไว้ก่อนว่าครบหรือไม่ ก็เริ่มจากการตรวจความพร้อม PDPA ได้

สิ่งที่ต่างจากการซื้อชุดเอกสารสำเร็จรูป คือเราประเมินให้ก่อนว่าเรื่องไหนไม่ต้องทำ และเรื่องไหนที่จ่ายไปก็ไม่ได้ลดความเสี่ยงจริง เพราะเราคิดค่าบริการตามงาน ไม่ได้ขายเป็นแพ็กเกจ · และเมื่อคำขอนั้นมาจากอดีตพนักงานจนกลายเป็นข้อพิพาท ทีมเดียวกันนี้ยังดูแลต่อได้ถึงคดีแรงงาน ซึ่งเป็นจุดที่ข้อพิพาทข้อมูลพนักงานส่วนใหญ่ไปจบ ไม่ใช่จบที่สำนักงาน

สรุป

กฎใหม่ปี 2569 ไม่ได้เพิ่มสิทธิใหม่ให้เจ้าของข้อมูล เพราะสิทธิขอสำเนาข้อมูลส่วนบุคคลมีอยู่ตามมาตรา 30 อยู่แล้ว แต่สิ่งที่เพิ่มเข้ามาคือ "นาฬิกาและหลักฐาน" — กรอบ 15 วันสำหรับตรวจคำขอ กรอบ 30 วันสำหรับดำเนินการ ขยายได้อีกไม่เกิน 30 วันโดยต้องแจ้งเหตุผล และบันทึกทั้งหมดต้องเก็บไม่น้อยกว่า 2 ปี

องค์กรที่เตรียมทัน จะเปลี่ยนคำขอที่น่ากังวลให้กลายเป็นหลักฐานว่าตัวเองทำถูก ส่วนองค์กรที่ไม่ได้เตรียม จะพบว่าคำขอฉบับเดียวเปิดแผลได้หลายจุดพร้อมกัน ทั้งเรื่องความครบถ้วนของข้อมูล เรื่องการปกปิด และเรื่องการบันทึก

หากคุณกำลังเจอปัญหาลักษณะนี้ หรือเพิ่งได้รับคำขอเข้ามาแล้วยังไม่แน่ใจว่าต้องให้ถึงระดับไหน ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคลฯ พ.ศ. 2569 — ราชกิจจานุเบกษา เล่ม 143 ตอนพิเศษ 175 ง วันที่ 16 ก.ค. 2569 ใช้บังคับเมื่อพ้นกำหนด 60 วันนับแต่วันประกาศ
• ประกาศฯ ข้อ 7 — ตรวจคำขอและยืนยันตัวตนผู้ยื่นให้เสร็จโดยไม่ชักช้า แต่ไม่เกิน 15 วันนับแต่วันที่ได้รับคำขอ · กรณีเอกสารไม่ครบ ให้กำหนดเวลาแก้ไขไม่น้อยกว่า 10 วัน
• ประกาศฯ ข้อ 8 — เหตุที่ปฏิเสธคำขอได้ และหน้าที่ดำเนินการเท่าที่ทำได้โดยลบ ตัดทอน หรือปกปิดเฉพาะส่วนที่กระทบผู้อื่น
• ประกาศฯ ข้อ 10 — ดำเนินการตามคำขอไม่เกิน 30 วันนับแต่วันที่ได้รับคำขอ ขยายได้อีกไม่เกิน 30 วันโดยต้องแจ้งเหตุผล
• ประกาศฯ ข้อ 11 และบัญชีท้ายประกาศ — ห้ามเรียกค่าธรรมเนียมกรณีให้ข้อมูลทางอิเล็กทรอนิกส์ที่ไม่ต้องทำสื่อบันทึกเฉพาะและไม่มีค่าขนส่ง · กรณีเรียกเก็บได้ ต้องไม่เกินต้นทุนจริงและไม่เกินอัตราในบัญชีท้ายประกาศ
• ประกาศฯ ข้อ 12 — เก็บบันทึกคำขอ เอกสารหลักฐาน การดำเนินการและการปฏิเสธ ไว้ไม่น้อยกว่า 2 ปี
• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 30 — วรรคสาม เมื่อปฏิเสธคำขอ ต้องบันทึกการปฏิเสธพร้อมเหตุผลไว้ในรายการตามมาตรา 39 · วรรคสี่ เมื่อปฏิเสธไม่ได้ ต้องดำเนินการตามคำขอโดยไม่ชักช้า แต่ไม่เกิน 30 วันนับแต่วันที่ได้รับคำขอ
• มาตรา 82 — ผู้ควบคุมข้อมูลที่ไม่ปฏิบัติตามมาตรา 23 มาตรา 30 วรรคสี่ มาตรา 39 วรรคหนึ่ง มาตรา 41 วรรคหนึ่ง หรือมาตรา 42 วรรคสองหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินหนึ่งล้านบาท

คำถามที่พบบ่อย

กฎใหม่เรื่องขอสำเนาข้อมูลส่วนบุคคลเริ่มบังคับใช้เมื่อไร

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ลงราชกิจจานุเบกษาเมื่อวันที่ 16 กรกฎาคม 2569 และกำหนดให้ใช้บังคับเมื่อพ้นกำหนดหกสิบวันนับแต่วันประกาศเป็นต้นไป ซึ่งตกอยู่ในช่วงกลางเดือนกันยายน 2569 องค์กรจึงควรใช้เวลาที่เหลือเตรียมช่องทางรับคำขอ ขั้นตอนยืนยันตัวตน และแบบฟอร์มหนังสือแจ้งผลให้พร้อมก่อนวันดังกล่าว

องค์กรต้องตอบคำขอภายในกี่วัน

ต้องแยกเป็นสองชั้น ชั้นแรกคือการตรวจรายละเอียดคำขอ เอกสารหลักฐาน และยืนยันว่าผู้ยื่นเป็นเจ้าของข้อมูลหรือผู้รับมอบอำนาจจริง ซึ่งต้องเสร็จภายใน 15 วันนับแต่วันที่ได้รับคำขอ ชั้นที่สองคือการดำเนินการตามคำขอ ซึ่งต้องเสร็จโดยไม่ชักช้าแต่ไม่เกิน 30 วันนับแต่วันที่ได้รับคำขอ และขยายได้อีกไม่เกิน 30 วันหากมีเหตุจำเป็น โดยต้องแจ้งเหตุผลให้ผู้ยื่นทราบ

เรียกค่าธรรมเนียมจากคนที่ขอสำเนาข้อมูลได้ไหม

โดยหลักไม่ได้ หากเป็นการให้ข้อมูลผ่านช่องทางหรือวิธีการทางอิเล็กทรอนิกส์ซึ่งไม่ต้องจัดทำข้อมูลในสื่อบันทึกรูปแบบใดเป็นการเฉพาะ และไม่มีค่าใช้จ่ายในการขนส่งหรือจัดส่งโดยตรง กรณีนอกเหนือจากนั้นอาจเรียกเก็บได้ในอัตราที่สมเหตุสมผลและไม่เกินต้นทุนที่แท้จริง โดยกรณีที่ระบุไว้ในบัญชีท้ายประกาศต้องไม่เกินอัตราที่กำหนด และต้องแจ้งอัตราให้ทราบก่อนหรือในขณะที่ใช้สิทธิ

ถ้าไฟล์ที่ขอมีข้อมูลของพนักงานคนอื่นปนอยู่ ต้องปฏิเสธทั้งคำขอไหม

โดยหลักไม่ควรปฏิเสธทั้งคำขอ เพราะประกาศกำหนดให้ผู้ควบคุมข้อมูลดำเนินการตามคำขอเท่าที่สามารถกระทำได้ โดยคำนึงถึงสิทธิของเจ้าของข้อมูลและสิทธิของผู้อื่นประกอบกัน และอาจลบ ตัดทอน หรือทำโดยประการอื่นที่ไม่เป็นการเปิดเผยข้อมูลส่วนที่จะกระทบต่อผู้อื่นนั้น แนวทางที่ปลอดภัยกว่าจึงเป็นการปกปิดเฉพาะจุดแล้วส่งส่วนที่เหลือ พร้อมบันทึกเหตุผลว่าปกปิดส่วนใดเพราะอะไร

ปฏิเสธคำขอไปแล้ว ต้องทำอะไรต่อ

ต้องแจ้งเหตุผลของการปฏิเสธให้เจ้าของข้อมูลหรือผู้รับมอบอำนาจที่ยื่นคำขอทราบ และต้องบันทึกการปฏิเสธคำขอพร้อมด้วยเหตุผลไว้ในรายการตามมาตรา 39 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ทั้งนี้การไม่ปฏิบัติตามหน้าที่บันทึกตามมาตรา 30 วรรคสี่ เป็นความผิดที่มีโทษปรับทางปกครองไม่เกินหนึ่งล้านบาทตามมาตรา 82 ซึ่งแยกต่างหากจากประเด็นว่าการปฏิเสธนั้นชอบหรือไม่

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ