เก็บบันทึกคำขอใช้สิทธิ PDPA อย่างไร ต้องมีอะไรบ้าง และเก็บนานเท่าใด ปี 2569

เมื่อองค์กรตอบคำขอเสร็จแล้ว งานที่มักถูกทำแบบขอไปทีคือการเก็บบันทึกคำขอใช้สิทธิ เพราะดูเหมือนงานธุรการที่ไม่มีผลอะไร แต่ในทางคดี แฟ้มนี้คือสิ่งแรกที่ถูกขอดูเมื่อมีการร้องเรียน และเป็นสิ่งเดียวที่พิสูจน์ได้ว่าองค์กรทำอะไรไปบ้าง ทำเมื่อใด และด้วยเหตุผลใด บทความนี้อธิบายว่าประกาศปี 2569 กำหนดให้เก็บอะไร เก็บนานเท่าใด และทำไมถ้อยคำที่เขียนลงในบันทึกจึงต้องระวังเป็นพิเศษ

ประกาศกำหนดให้เก็บอะไร และนานเท่าใด

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่องหลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคล พ.ศ. 2569 วางหน้าที่เรื่องการบันทึกไว้สองจุด

• ข้อ 12 — ให้เก็บบันทึกเกี่ยวกับคำขอไว้ไม่น้อยกว่า 2 ปี โดยเก็บในรูปแบบอิเล็กทรอนิกส์ได้
• ข้อ 8 — เมื่อปฏิเสธคำขอ ต้องแจ้งเหตุผลแก่ผู้ขอ และบันทึกการปฏิเสธพร้อมเหตุผลไว้ในรายการตามมาตรา 39

คำว่า "ไม่น้อยกว่า" เป็นคำสำคัญ เพราะเป็นการกำหนดพื้น ไม่ใช่การกำหนดเพดาน องค์กรที่เข้าใจว่าครบสองปีแล้วต้องทำลาย จึงเข้าใจคลาดเคลื่อน และในบางสถานการณ์การทำลายเมื่อครบสองปีพอดีคือความเสี่ยงที่หนักกว่าการเก็บต่อ ซึ่งจะอธิบายในหัวข้อถัดไป ภาพรวมของกฎใหม่ทั้งฉบับอ่านได้ที่คู่มือกฎใหม่ปี 2569 เรื่องขอเข้าถึงและขอสำเนาข้อมูลส่วนบุคคล

เก้ารายการที่แฟ้มหนึ่งคำขอควรมี

ประกาศไม่ได้ระบุรายการย่อยไว้เป็นข้อ ๆ แนวปฏิบัติต่อไปนี้จึงมาจากคำถามที่มักถูกถามจริงในชั้นชี้แจง คือถามว่าอะไรเกิดขึ้นเมื่อใด และใครเป็นคนตัดสิน

1. วันและเวลาที่ได้รับคำขอ พร้อมช่องทางที่ได้รับและชื่อผู้รับ เพราะเป็นจุดที่นาฬิกาเริ่มเดิน
2. ตัวคำขอฉบับที่ได้รับ ตามที่ผู้ขอส่งมา ไม่ใช่ฉบับที่พิมพ์ใหม่
3. บันทึกการตรวจสอบตัวตน ระบุว่าใช้เอกสารใด เทียบกับอะไร ใครตรวจ และผลเป็นอย่างไร
4. หนังสือแจ้งขอเอกสารเพิ่ม ถ้ามี พร้อมวันที่ส่งและวันที่ได้รับเอกสารครบ ซึ่งเป็นวันที่ถือว่าได้รับคำขอใหม่
5. บันทึกการตัดสินใจ ว่าให้ ให้บางส่วน หรือปฏิเสธ พร้อมเหตุตามข้อ 8 และลายมือชื่อผู้มีอำนาจ
6. บันทึกการค้นข้อมูล ว่าค้นระบบใดบ้าง โดยใคร เมื่อใด และพบอะไร
7. บันทึกการปกปิดข้อมูลบุคคลที่สาม ว่าปกปิดส่วนใด ด้วยเหตุใด และใครเป็นผู้ตรวจซ้ำ
8. สำเนาสิ่งที่ส่งมอบจริง พร้อมวันเวลา ช่องทาง และหลักฐานการส่ง
9. บันทึกการปิดเรื่อง รวมถึงกรณีที่ผู้ขอไม่ส่งเอกสารเพิ่มจนถือว่าละทิ้งคำขอ

รายการที่ 3, 5 และ 7 มักหายไปมากที่สุด และเป็นสามรายการที่ถูกถามหาบ่อยที่สุด รายละเอียดของแต่ละขั้นอ่านต่อได้ที่การตรวจสอบตัวตนผู้ขอใช้สิทธิ และการปกปิดข้อมูลบุคคลที่สามในไฟล์ที่ส่งมอบ

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า บันทึกภายในคือเอกสารขององค์กร เขียนอย่างไรก็ได้ ตราบใดที่ไม่ส่งออกไปข้างนอก

แต่ในทางคดี กฎหมายและผู้พิจารณามักมองว่า เมื่อประกาศข้อ 8 กำหนดให้บันทึกเหตุผลการปฏิเสธไว้ในรายการตามมาตรา 39 และข้อ 4 วรรคสอง ระบุว่ารายการตามมาตรา 39 เป็นสิ่งที่เจ้าของข้อมูลขอเข้าถึงและขอรับสำเนาได้ บันทึกนั้นจึงไม่ใช่เอกสารที่ปิดอยู่ภายในอีกต่อไป

จุดเสี่ยงจริงอยู่ตรงนี้ ข้อความที่เขียนด้วยความรู้สึก เช่น ระบุว่าผู้ขอมีนิสัยชอบก่อเรื่องจึงไม่ควรให้ จะกลายเป็นพยานเอกสารที่แสดงว่าการตัดสินใจไม่ได้ตั้งอยู่บนเหตุตามประกาศ และเป็นเอกสารที่แก้ไขย้อนหลังไม่ได้

ทางเลือกที่ควรทำต่อคือ กำหนดเป็นกติกาว่าบันทึกทุกฉบับเขียนเสมือนผู้ขอจะได้อ่าน คือระบุข้อเท็จจริง ระบุข้อที่ใช้ ระบุทางเลือกที่พิจารณาแล้ว และไม่ประเมินตัวบุคคล กติกาข้อเดียวนี้ป้องกันปัญหาได้มากกว่าระบบราคาแพงหลายอย่างรวมกัน

สองปีคือพื้น ไม่ใช่คำตอบ

เมื่อประกาศเขียนว่าไม่น้อยกว่า 2 ปี คำถามที่ต้องถามต่อคือ มีเหตุใดที่ทำให้ต้องเก็บนานกว่านั้นหรือไม่ ในทางปฏิบัติมีอยู่สามกลุ่มที่พบบ่อย

สถานการณ์	ผลต่อระยะเวลาเก็บ	เหตุผล
ไม่มีข้อพิพาท ไม่มีเรื่องร้องเรียน	เก็บตามพื้น คือไม่น้อยกว่า 2 ปี	เป็นไปตามข้อ 12 ของประกาศ
มีการร้องเรียนหรือคดีที่เกี่ยวข้องอยู่ระหว่างพิจารณา	ห้ามทำลาย จนกว่าเรื่องจะยุติ	เอกสารเป็นพยานหลักฐานในเรื่องที่ยังไม่จบ
เอกสารเป็นส่วนหนึ่งของแฟ้มที่มีกฎหมายอื่นกำหนดเวลาเก็บไว้	ยึดระยะเวลาที่ยาวกว่า	กฎหมายเฉพาะไม่ได้ถูกยกเลิกด้วยประกาศฉบับนี้

วิธีคิดเรื่องระยะเวลาเก็บของเอกสารฝ่ายบุคคลทั้งชุด รวมถึงหลักการชั่งระหว่างกฎหมายเฉพาะ อายุความ วัตถุประสงค์ และการหยุดทำลายเมื่อมีข้อพิพาท อธิบายไว้แล้วที่ตารางระยะเวลาเก็บเอกสาร HR ซึ่งควรอ่านคู่กับบทความนี้

ข้อควรระวังที่สุดคือ การทำลายเอกสารเมื่อครบสองปีพอดีทั้งที่มีข้อพิพาทค้างอยู่ เพราะพฤติการณ์นั้นจะถูกอ่านว่าเป็นการทำลายพยานหลักฐาน ซึ่งเสียหายกว่าสิ่งที่เอกสารนั้นบรรจุอยู่มาก

ปลายทางถ้าไม่มีบันทึก

เมื่อมีการร้องเรียน สิ่งที่ถูกขอดูก่อนไม่ใช่ตัวข้อมูลที่ส่งมอบ แต่คือหลักฐานว่าองค์กรดำเนินการอย่างไร คำถามที่ถูกถามเป็นชุดคือ ได้รับคำขอวันใด ตรวจตัวตนอย่างไร ตัดสินใจเมื่อใด ใครตัดสิน และส่งมอบอะไรไป องค์กรที่ตอบไม่ได้ด้วยเอกสาร จะเหลือเพียงคำอธิบายด้วยวาจา ซึ่งมีน้ำหนักต่างกันมาก

ในทางบทลงโทษ ประกาศหลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครอง พ.ศ. 2565 ข้อ 8 ระบุปัจจัยกำหนดโทษไว้ 13 ข้อ ซึ่งรวมถึงมาตรฐานองค์กรในขณะกระทำผิด และการเยียวยาเมื่อทราบเหตุ ทั้งสองปัจจัยนี้พิสูจน์ได้ด้วยเอกสารเท่านั้น องค์กรที่มีทะเบียนคำขอครบถ้วนจึงอยู่ในสถานะที่ต่างจากองค์กรที่ไม่มี แม้ข้อเท็จจริงในเรื่องหลักจะเหมือนกัน ขั้นตอนหลังได้รับหนังสือดูที่7 วันแรกหลังได้รับหนังสือร้องเรียน

อีกจุดที่ควรวางไว้ตั้งแต่ต้นคือรูปแบบของแบบฟอร์ม เพราะแบบฟอร์มที่ออกแบบให้กรอกครบโดยธรรมชาติ ได้ผลกว่าการสั่งให้คนจำว่าต้องบันทึกอะไร หลักการออกแบบแบบฟอร์มบันทึกที่ใช้ยันได้ อธิบายไว้ที่แบบฟอร์มบันทึกเหตุการณ์ที่ใช้ยันได้จริง ซึ่งใช้หลักเดียวกัน

ถ้าเป็นฝ่ายนายจ้างและ HR ต้องเช็กอะไรบ้าง

• มีทะเบียนคำขอกลางเพียงชุดเดียว ไม่ใช่ต่างคนต่างเก็บในอีเมลของตัวเอง
• ทะเบียนมีช่องวันที่ได้รับและวันครบกำหนดทั้งสองชั้น คือ 15 วันและ 30 วัน
• มีช่องบันทึกเหตุผลที่บังคับให้อ้างข้อของประกาศ ไม่ใช่ช่องข้อความว่างเปล่า
• กำหนดว่าใครมีสิทธิเข้าถึงแฟ้มคำขอ เพราะแฟ้มนี้มีข้อมูลอ่อนไหวรวมอยู่
• ตั้งกติกาการเขียนบันทึกว่าเขียนเสมือนผู้ขอจะได้อ่าน และห้ามประเมินตัวบุคคล
• ตั้งสัญญาณหยุดทำลาย เมื่อมีข้อพิพาทหรือหนังสือร้องเรียนเข้ามา
• ทบทวนว่าบันทึกเดิมที่มีอยู่เขียนไว้อย่างไร เพราะแฟ้มเก่าก็อาจถูกขอดูได้เช่นกัน
• ระบุวิธีทำลายเมื่อครบกำหนด และเก็บหลักฐานการทำลายไว้

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

ทีมที่ปรึกษากฎหมาย PDPA ของเราช่วยองค์กรออกแบบทะเบียนคำขอและแบบฟอร์มบันทึกที่ครบตามประกาศ วางกติกาการเขียนเหตุผลให้ปลอดภัยเมื่อถูกขอดู และตรวจว่าระยะเวลาเก็บของแฟ้มคำขอสอดคล้องกับกฎหมายอื่นที่องค์กรอยู่ภายใต้ หากต้องการตรวจความพร้อมทั้งระบบก่อนวันบังคับใช้ ดูขอบเขตงานที่ตรวจสุขภาพ PDPA และสำหรับแฟ้มที่ผูกกับข้อมูลพนักงานโดยตรง ดูที่งานคุ้มครองข้อมูลพนักงานสำหรับ HR

สิ่งที่เราเน้นตั้งแต่วันแรกคือการจัดระบบเอกสารและพยานหลักฐาน เพราะจากงานจริง สิ่งที่ทำให้องค์กรเสียเปรียบมักไม่ใช่การทำผิด แต่คือการพิสูจน์ไม่ได้ว่าทำถูก และแฟ้มคำขอคือจุดที่ความต่างนั้นปรากฏชัดที่สุด

สรุป

บันทึกคำขอใช้สิทธิต้องเก็บไม่น้อยกว่า 2 ปีตามข้อ 12 ของประกาศปี 2569 และเมื่อปฏิเสธคำขอต้องบันทึกเหตุผลไว้ในรายการตามมาตรา 39 ตามข้อ 8 สิ่งที่ต้องเข้าใจให้ตรงคือสองปีเป็นพื้น ไม่ใช่กำหนดให้ทำลาย และรายการตามมาตรา 39 เป็นสิ่งที่เจ้าของข้อมูลขอดูได้ ถ้อยคำที่เขียนไว้จึงต้องเขียนเสมือนว่าอีกฝ่ายจะได้อ่าน ตัวบทและระยะเวลาทั้งหมดควรตรวจกับตัวประกาศฉบับเต็มในราชกิจจานุเบกษา และแนวปฏิบัติของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ก่อนนำไปใช้

หากองค์กรของคุณยังไม่มีทะเบียนคำขอ หรือมีแต่ไม่แน่ใจว่าใช้ยันได้จริงหรือไม่ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• ประกาศ กคส. เรื่องหลักเกณฑ์การเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคลฯ พ.ศ. 2569 ข้อ 12 — เก็บบันทึกเกี่ยวกับคำขอไว้ไม่น้อยกว่า 2 ปี เก็บในรูปแบบอิเล็กทรอนิกส์ได้
• ประกาศฉบับเดียวกัน ข้อ 8 — เมื่อปฏิเสธคำขอ ต้องแจ้งเหตุผลและบันทึกการปฏิเสธพร้อมเหตุผลไว้ในรายการตามมาตรา 39
• ประกาศฉบับเดียวกัน ข้อ 4 วรรคสอง — รายละเอียดตามมาตรา 23 และรายการตามมาตรา 39 เป็นสิ่งที่เจ้าของข้อมูลขอเข้าถึงและขอรับสำเนาได้
• ประกาศฉบับเดียวกัน ข้อ 7 และ ข้อ 10 — กรอบเวลา 15 วันสำหรับตรวจคำขอและยืนยันตัวตน และ 30 วันสำหรับดำเนินการ ซึ่งเป็นวันที่ต้องปรากฏในทะเบียน
• ประกาศ กคส. เรื่องหลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครอง พ.ศ. 2565 ข้อ 8 — ปัจจัยกำหนดโทษ 13 ข้อ รวมถึงมาตรฐานองค์กรในขณะกระทำผิดและการเยียวยาเมื่อทราบเหตุ

คำถามที่พบบ่อย

เก็บเป็นไฟล์อิเล็กทรอนิกส์อย่างเดียวได้หรือไม่

ได้ ประกาศข้อ 12 ระบุว่าการเก็บบันทึกจะจัดเก็บในรูปแบบอิเล็กทรอนิกส์ก็ได้ ข้อควรระวังคือต้องเก็บให้ตรวจสอบย้อนหลังได้จริง คือรู้ว่าใครสร้าง ใครแก้ไข และเมื่อใด เพราะบันทึกที่แก้ไขได้โดยไม่ทิ้งร่องรอย จะถูกตั้งคำถามเรื่องน้ำหนักเมื่อนำไปใช้ชี้แจง

ครบ 2 ปีแล้วต้องทำลายทันทีหรือไม่

ไม่ใช่ ประกาศเขียนว่าไม่น้อยกว่า 2 ปี ซึ่งเป็นการกำหนดระยะเวลาขั้นต่ำ ไม่ใช่คำสั่งให้ทำลายเมื่อครบกำหนด องค์กรต้องพิจารณาต่อว่ามีกฎหมายอื่นกำหนดให้เก็บนานกว่านั้นหรือไม่ และมีข้อพิพาทหรือการร้องเรียนที่เกี่ยวข้องค้างอยู่หรือไม่ ถ้ามี ควรระงับการทำลายไว้ก่อน

บันทึกเหตุผลการปฏิเสธ ผู้ขอมาขอดูได้จริงหรือ

ประกาศข้อ 8 กำหนดให้บันทึกการปฏิเสธพร้อมเหตุผลไว้ในรายการตามมาตรา 39 และข้อ 4 วรรคสอง ระบุว่ารายการตามมาตรา 39 เป็นสิ่งที่เจ้าของข้อมูลขอเข้าถึงและขอรับสำเนาได้ องค์กรจึงควรเขียนบันทึกโดยตั้งสมมติฐานว่าผู้ขออาจได้อ่าน คือระบุข้อเท็จจริงและข้อที่ใช้ ไม่ประเมินตัวบุคคล

ต้องเก็บสำเนาข้อมูลที่ส่งมอบไปด้วยหรือไม่

ในทางปฏิบัติควรเก็บ เพราะเมื่อมีข้อโต้แย้งว่าองค์กรส่งอะไรไปบ้าง หรือส่งครบหรือไม่ คำตอบต้องมาจากสำเนาที่เก็บไว้ ทั้งนี้สำเนาดังกล่าวก็เป็นข้อมูลส่วนบุคคล จึงต้องมีการควบคุมการเข้าถึง มีกำหนดระยะเวลาเก็บ และมีวิธีทำลายที่ชัดเจนเช่นเดียวกับข้อมูลอื่น

องค์กรเล็กที่มีคำขอปีละไม่กี่เรื่อง ต้องทำทะเบียนหรือไม่

ต้องทำเช่นกัน เพราะหน้าที่บันทึกตามประกาศไม่ได้ผูกกับจำนวนคำขอ ข้อดีของการมีคำขอน้อยคือทะเบียนไม่จำเป็นต้องเป็นระบบราคาแพง ตารางกลางที่ควบคุมสิทธิการเข้าถึงได้และบันทึกวันเวลาครบถ้วน ก็เพียงพอในทางปฏิบัติ สิ่งที่สำคัญกว่ารูปแบบคือความสม่ำเสมอในการบันทึกทุกเรื่อง

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ