ขั้นตอนรับคำขอใช้สิทธิ DSAR ตั้งแต่ต้นจนจบ ใครรับ ใครตรวจ ใครอนุมัติ

เมื่อองค์กรรู้แล้วว่ากฎใหม่ปี 2569 เรื่องขอสำเนาข้อมูลส่วนบุคคลกำหนดกรอบเวลาไว้อย่างไร คำถามถัดไปที่ตอบยากกว่าคือ แล้วในทางปฏิบัติขั้นตอนรับคำขอใช้สิทธิควรเดินอย่างไร ใครเป็นคนรับ ใครตรวจ ใครมีอำนาจตัดสินใจว่าจะให้หรือไม่ให้ และจุดไหนที่พลาดแล้วแก้ไม่ได้ บทความนี้วางผังงานให้ครบทั้งเจ็ดขั้น พร้อมระบุว่าแต่ละขั้นต้องได้ผลลัพธ์อะไรออกมาเป็นเอกสาร

ทำไมองค์กรที่มีนโยบายแล้วยังตอบคำขอไม่ทัน

เหตุผลที่พบซ้ำ ๆ ไม่ใช่เรื่องเทคโนโลยี แต่เป็นเรื่องของการออกแบบงานที่ขาดสามอย่าง

• ไม่มีจุดรับกลาง คำขอเข้ามาทางอีเมลของหัวหน้าแผนกบ้าง ทางหน้าร้านบ้าง ทางไปรษณีย์บ้าง แล้วไม่มีใครรู้ว่าเรื่องเดียวกันนี้มีกี่ฉบับ
• ไม่มีเจ้าของเรื่อง ทุกฝ่ายคิดว่าอีกฝ่ายกำลังทำอยู่ จนกระทั่งใกล้ครบกำหนดจึงพบว่ายังไม่มีใครเริ่ม
• ไม่รู้ว่าข้อมูลอยู่ที่ไหน พอเริ่มค้นจริงถึงพบว่าข้อมูลของคนหนึ่งคนกระจายอยู่ในหกระบบ และบางระบบไม่มีใครดูแลแล้ว

ข้อสังเกตในเชิงคดีคือ ทั้งสามข้อนี้แก้ได้ด้วยเอกสารและการมอบหมายงาน ไม่ต้องซื้อระบบใด ๆ องค์กรที่เริ่มจากสมุดทะเบียนคำขอกลางในสัปดาห์นี้ จึงพร้อมกว่าองค์กรที่รอโครงการจัดซื้อระบบในปีหน้า

ผังงาน 7 ขั้น พร้อมผู้รับผิดชอบและผลลัพธ์

ขั้น	สิ่งที่ทำ	ใครทำ	ผลลัพธ์ที่ต้องได้
1 · รับและลงทะเบียน	บันทึกวันและเวลาที่ได้รับ ช่องทางที่ได้รับ และผู้รับ · ออกเลขที่คำขอ	จุดรับกลาง (มักเป็นเลขานุการหรือธุรการกลาง)	รายการในทะเบียนคำขอ พร้อมวันครบกำหนดทั้ง 15 วันและ 30 วัน
2 · ตรวจครบถ้วนและยืนยันตัวตน	ตรวจว่าคำขอมีรายการครบ และผู้ยื่นเป็นเจ้าของข้อมูลหรือผู้รับมอบอำนาจจริง ต้องเสร็จภายใน 15 วัน	เจ้าของกระบวนการ หรือ DPO หากมี	บันทึกผลการตรวจ หรือหนังสือแจ้งให้ส่งเอกสารเพิ่ม (ให้เวลาไม่น้อยกว่า 10 วัน)
3 · ตัดสินรับหรือปฏิเสธ	ประเมินว่าเข้าเหตุปฏิเสธตามประกาศหรือไม่ และถ้าเข้า จะปกปิดบางส่วนแทนได้หรือไม่	ฝ่ายกฎหมาย หรือทนายภายนอกเมื่อมีข้อพิพาท	บันทึกการตัดสินใจพร้อมเหตุผล
4 · ค้นข้อมูลข้ามระบบ	ค้นจากทุกระบบตามบัญชีที่ทำไว้ ด้วยตัวระบุที่กำหนด	เจ้าของระบบแต่ละระบบ ประสานโดยไอที	บันทึกว่าค้นระบบใด โดยใคร เมื่อใด และได้อะไรมาบ้าง
5 · ปกปิดข้อมูลบุคคลที่สาม	ลบ ตัดทอน หรือปกปิดส่วนที่กระทบสิทธิผู้อื่น โดยเก็บทั้งฉบับก่อนและหลัง	ผู้รับผิดชอบเนื้อหา ตรวจซ้ำโดยฝ่ายกฎหมาย	ไฟล์สองชุด พร้อมบันทึกว่าปกปิดส่วนใดเพราะอะไร
6 · อนุมัติและส่งมอบ	ผู้มีอำนาจลงนาม แล้วส่งด้วยช่องทางที่ปลอดภัย ทั้งหมดต้องจบใน 30 วัน	ผู้บริหารที่ได้รับมอบอำนาจ	หนังสือแจ้งผล และหลักฐานการส่งมอบ
7 · บันทึกและปิดเรื่อง	รวบรวมทุกอย่างเข้าแฟ้มคำขอ และปิดสถานะในทะเบียน	เจ้าของกระบวนการ	แฟ้มที่เก็บไว้ไม่น้อยกว่า 2 ปี

หากตรวจแล้วพบว่าเอกสารไม่ครบและต้องให้ผู้ยื่นแก้ไข ให้จำไว้ว่าเมื่อได้เอกสารครบถ้วนแล้ว ประกาศกำหนดให้ถือว่าผู้ควบคุมข้อมูลได้รับคำขอตั้งแต่วันนั้น นาฬิกาจึงเริ่มนับใหม่ ไม่ใช่นับต่อจากของเดิม

คนส่วนใหญ่มักเข้าใจผิดตรงไหน

เข้าใจผิดที่ 1: "ยืนยันตัวตนคือขอสำเนาบัตรมาก็พอ" — ความจริง คือประกาศเปิดให้ผู้ควบคุมข้อมูลขอรายละเอียดหรือเอกสารเพิ่มเติมได้ตามความจำเป็น เช่น ตัวระบุทางตรงที่องค์กรใช้ แต่วิธีที่ใช้ต้องไม่สร้างอุปสรรคเกินสมควร · ผลเสีย คือขอมากไปกลายเป็นอุปสรรค ขอน้อยไปเสี่ยงเปิดข้อมูลให้ผิดคน (ดูเกณฑ์ตรวจสอบตัวตนผู้ขอใช้สิทธิ 3 ระดับ)

เข้าใจผิดที่ 2: "ให้ฝ่ายไอทีค้นแล้วส่งได้เลย" — ความจริง คือขั้นตอนปกปิดข้อมูลบุคคลที่สามเป็นขั้นที่ข้ามไม่ได้ · ผลเสีย คือการส่งไฟล์ที่มีข้อมูลคนอื่นปนไป กลายเป็นเหตุละเมิดข้อมูลใหม่ทันที

เข้าใจผิดที่ 3: "ส่งทางอีเมลก็พอ" — ความจริง คือข้อมูลที่ส่งมักเป็นข้อมูลชุดใหญ่ของบุคคลคนเดียว ซึ่งความเสี่ยงจากการส่งผิดคนสูงมาก · ผลเสีย คือพลาดในขั้นสุดท้ายหลังทำถูกมาหกขั้น

เข้าใจผิดที่ 4: "ปิดเรื่องแล้วเก็บไฟล์ไว้ในเครื่องคนทำก็พอ" — ความจริง คือประกาศกำหนดให้เก็บบันทึกไว้ไม่น้อยกว่า 2 ปีเพื่อประโยชน์ในการตรวจสอบและอ้างอิง · ผลเสีย คือพอคนลาออก แฟ้มหายไปพร้อมกัน

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า… ผังงานที่ดีคือผังที่ครอบคลุมทุกกรณี ยิ่งละเอียดยิ่งดี

แต่ในทางคดี กฎหมายและศาลมักมองว่า… ผังงานที่ดีคือผังที่มีหลักฐานว่าถูกใช้จริง เพราะสิ่งที่ถูกตรวจไม่ใช่แผนภาพ แต่คือแฟ้มคำขอที่เกิดขึ้นจริงหนึ่งแฟ้ม และแฟ้มนั้นตอบได้หรือไม่ว่าใครทำอะไรเมื่อไร

จุดเสี่ยงจริงอยู่ตรงนี้… องค์กรจำนวนมากมีผังสวยงามในเอกสารนโยบาย แต่พอเปิดแฟ้มคำขอจริงกลับไม่มีวันที่ ไม่มีชื่อผู้ตัดสินใจ และไม่มีเหตุผลประกอบ ซึ่งทำให้ผังนั้นไม่มีค่าในชั้นชี้แจง

ทางเลือกที่ควรทำต่อคือ… ออกแบบผังให้สั้นที่สุดเท่าที่ครบ แล้วทุ่มแรงไปที่การทำให้แต่ละขั้นทิ้ง "ร่องรอยที่มีวันที่" ไว้เสมอ เพราะร่องรอยเหล่านั้นคือสิ่งที่ใช้ยันได้จริง

ปลายทางถ้าพลาด

ความผิดพลาดในผังงานปรากฏผลใน 3 ทาง คือ หนึ่ง ตอบเกินกรอบเวลาจนกลายเป็นประเด็นร้องเรียนเพิ่มอีกหนึ่งประเด็นนอกจากประเด็นเดิม สอง ส่งข้อมูลของบุคคลที่สามหลุดไปจนเกิดเหตุละเมิดข้อมูลใหม่ และสาม ปฏิเสธคำขอโดยไม่ได้บันทึกเหตุผลไว้ในรายการตามมาตรา 39 ซึ่งหน้าที่บันทึกอยู่ในมาตรา 30 วรรคสาม และเมื่อรายการตามมาตรา 39 ไม่ครบ การไม่ปฏิบัติตามมาตรา 39 วรรคหนึ่ง มีโทษปรับทางปกครองไม่เกินหนึ่งล้านบาทตามมาตรา 82

ในกรณีที่ผู้ยื่นคำขอเป็นพนักงานหรืออดีตพนักงาน ยังมีทางที่เรื่องจะเดินต่อไปยังศาลแรงงานอีกทางหนึ่ง ซึ่งเป็นสนามที่พิจารณาเนื้อหาของข้อพิพาท ไม่ใช่พิจารณาว่าองค์กรตอบคำขอทันหรือไม่

หลักฐานที่ต้องเก็บในแฟ้มคำขอหนึ่งแฟ้ม

• ตัวคำขอฉบับที่ได้รับ พร้อมวันเวลาและช่องทางที่ได้รับ
• เอกสารยืนยันตัวตน และหนังสือมอบอำนาจพร้อมอากรแสตมป์ถ้ามีการมอบอำนาจ
• บันทึกผลการตรวจในขั้นที่ 2 พร้อมวันที่
• บันทึกการตัดสินใจรับหรือปฏิเสธ พร้อมเหตุผลและผู้ตัดสินใจ
• บันทึกการค้นข้อมูล ระบุระบบ ผู้ค้น และวันที่
• ไฟล์ก่อนและหลังปกปิด พร้อมเหตุผลการปกปิด
• หนังสือแจ้งขยายเวลาพร้อมเหตุผล ถ้าใช้สิทธิขยาย
• หนังสือแจ้งผลหรือหนังสือปฏิเสธ พร้อมหลักฐานการส่งมอบ
• การลงบันทึกในรายการตามมาตรา 39 กรณีปฏิเสธ

ถ้าเป็นฝ่ายองค์กร ต้องเช็กอะไรบ้าง

• ใครคือจุดรับกลาง และคนหน้าเคาน์เตอร์รู้หรือไม่ว่าคำขอแบบนี้ต้องส่งต่อทันที
• ทะเบียนคำขอคำนวณวันครบกำหนดทั้งสองชั้นให้อัตโนมัติหรือยัง หรือยังต้องนับเอง
• ใครมีอำนาจตัดสินใจปฏิเสธ และมีการมอบอำนาจไว้เป็นลายลักษณ์อักษรหรือไม่
• บัญชีระบบที่ต้องค้นครบหรือยัง รวมถึงระบบเก่าที่ยังไม่ได้ปิด
• เกณฑ์การปกปิดเขียนไว้หรือยัง และมีตัวอย่างให้ทีมดูเป็นแนวหรือไม่
• ช่องทางส่งมอบที่ใช้อยู่ ปลอดภัยพอสำหรับข้อมูลชุดใหญ่หรือไม่
• แฟ้มคำขอเก็บที่ไหน ใครเข้าถึงได้ และค้นย้อนหลัง 2 ปีได้จริงหรือไม่
• เคยซ้อมกับเคสสมมติแล้วจับเวลาจริงหรือยัง

อีกฝ่ายอาจโต้แย้งอย่างไร

• "องค์กรได้รับคำขอก่อนวันที่อ้าง" — ยกอีเมลฉบับแรกที่ส่งถึงพนักงานคนใดคนหนึ่งขององค์กรมาชี้
• "ขอเอกสารเพิ่มเพื่อถ่วงเวลา" — ถ้าองค์กรทยอยขอทีละอย่างหลายรอบ จะอธิบายยาก
• "ค้นไม่ครบ" — เทียบสิ่งที่ได้รับกับ Privacy Notice ขององค์กรเองที่ระบุว่าเก็บอะไรบ้าง
• "ปกปิดเกินจำเป็น" — อ้างว่าส่วนที่ปิดทึบไม่ใช่ข้อมูลของบุคคลอื่น
• "ไม่มีบันทึกอะไรเลย" — เมื่อองค์กรตอบไม่ได้ว่าใครตัดสินใจอะไรเมื่อไร ผังงานที่ยกมาจะไม่มีน้ำหนัก

เริ่มต้นควรทำอะไรตามลำดับ

1. เปิดสมุดหรือไฟล์ทะเบียนคำขอกลาง แล้วประกาศภายในว่าใครเจอคำขอต้องส่งมาที่ใดภายในวันเดียวกัน
2. ตั้งเจ้าของกระบวนการหนึ่งคน และผู้มีอำนาจอนุมัติหนึ่งคน ระบุชื่อตำแหน่งให้ชัด
3. ทำบัญชีระบบที่เก็บข้อมูลบุคคล พร้อมตัวระบุที่ใช้ค้นในแต่ละระบบ
4. เขียนเกณฑ์การปกปิดข้อมูลบุคคลที่สาม พร้อมตัวอย่างจริง 2–3 ตัวอย่าง
5. ทำแบบฟอร์มหนังสือ 4 ฉบับ คือแจ้งให้ส่งเอกสารเพิ่ม แจ้งขยายเวลา แจ้งผล และแจ้งปฏิเสธพร้อมเหตุผล
6. ซ้อมหนึ่งรอบด้วยเคสสมมติ แล้วจับเวลาจริงว่าจบภายในกรอบหรือไม่

กรณีแบบไหนที่ควรปรึกษาทนาย

• คำขอมาจากผู้ที่มีข้อพิพาทกับองค์กรอยู่ เช่นอดีตพนักงานที่ขอสำเนาแฟ้มประวัติ หรือมาพร้อมหนังสือจากทนายของอีกฝ่าย
• องค์กรกำลังจะปฏิเสธคำขอ ไม่ว่าทั้งหมดหรือบางส่วน
• ข้อมูลที่ขอมีเอกสารการสอบสวนภายในหรือความเห็นของบุคคลอื่นปนอยู่มาก
• ไม่แน่ใจว่าเกณฑ์การปกปิดที่ใช้อยู่จะถูกโต้แย้งได้หรือไม่
• องค์กรอยู่ในธุรกิจที่มีกฎหมายเฉพาะกำหนดเรื่องการเปิดเผยข้อมูลไว้ต่างหาก
• ต้องการวางเกณฑ์การเรียกค่าธรรมเนียมสำหรับคำขอปริมาณมาก
• เคยตอบคำขอไปแล้วโดยไม่มีบันทึกใด ๆ และอยากประเมินความเสี่ยงย้อนหลัง

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

ในงานที่ปรึกษากฎหมาย PDPA สำหรับองค์กร เราวางขั้นตอนตอบคำขอใช้สิทธิและระบบข้อมูลพนักงาน ให้ครบทั้งเจ็ดขั้น พร้อมแบบฟอร์มหนังสือที่เขียนแล้วใช้ยันได้ในชั้นชี้แจง ไม่ใช่แค่แผนภาพสวยงามในเอกสารนโยบาย · หากอยากตรวจของเดิมก่อนว่าขาดตรงไหน เริ่มจากการตรวจความพร้อม PDPA ได้

จุดที่เราเน้นเป็นพิเศษคือการจัดระบบเอกสารและพยานหลักฐานตั้งแต่ต้น เพราะในเรื่องนี้ องค์กรที่เสียเปรียบมักไม่ใช่องค์กรที่ทำผิด แต่เป็นองค์กรที่ทำถูกแล้วพิสูจน์ไม่ได้ว่าทำ

สรุป

ขั้นตอนรับคำขอใช้สิทธิที่ใช้ได้จริงไม่จำเป็นต้องซับซ้อน แต่ต้องมีเจ็ดขั้นครบ มีชื่อผู้รับผิดชอบในแต่ละขั้น และทิ้งร่องรอยที่มีวันที่ไว้ทุกขั้น โดยจำจุดตัดเวลาสองจุดให้แม่น คือ 15 วันสำหรับตรวจคำขอและยืนยันตัวตน และ 30 วันสำหรับดำเนินการทั้งหมด

สิ่งที่ควรเริ่มก่อนคือขั้นที่ 1 ซึ่งถูกที่สุดและได้ผลมากที่สุด เพราะถ้าองค์กรตอบไม่ได้ว่าได้รับคำขอวันไหน อีกหกขั้นที่ทำมาอย่างดีก็ไม่ช่วยอะไรในวันที่ถูกเรียกตรวจ

หากคุณกำลังเจอปัญหาลักษณะนี้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• ประกาศ กคส. เรื่อง หลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคลฯ พ.ศ. 2569 ข้อ 5 — ช่องทางยื่นคำขอที่ต้องจัดให้มี คือยื่นโดยตรง ณ สถานที่ทำการหรือสถานที่ติดต่อที่แจ้งไว้ตามมาตรา 23 และยื่นทางไปรษณีย์ · ช่องทางอิเล็กทรอนิกส์เพิ่มได้
• ประกาศฯ ข้อ 6 — รายการที่คำขอต้องมี วิธียืนยันตัวตน และการมอบอำนาจ
• ประกาศฯ ข้อ 7 — ตรวจคำขอและยืนยันตัวตนให้เสร็จโดยไม่ชักช้า แต่ไม่เกิน 15 วัน · กรณีเอกสารไม่ครบ ให้กำหนดเวลาแก้ไขไม่น้อยกว่า 10 วัน และให้ถือว่าได้รับคำขอในวันที่ได้เอกสารครบถ้วน
• ประกาศฯ ข้อ 8 — เหตุปฏิเสธ หน้าที่ปกปิดแทนการปฏิเสธ และหน้าที่แจ้งเหตุผลพร้อมบันทึกไว้ในรายการตามมาตรา 39
• ประกาศฯ ข้อ 9 และข้อ 10 — วิธีดำเนินการตามคำขอ และกรอบ 30 วัน ขยายได้อีกไม่เกิน 30 วันโดยต้องแจ้งเหตุผล
• ประกาศฯ ข้อ 12 — เก็บบันทึกคำขอ เอกสารหลักฐาน และการดำเนินการหรือปฏิเสธ ไว้ไม่น้อยกว่า 2 ปี
• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 30 และมาตรา 39 — สิทธิขอเข้าถึงและขอรับสำเนา และรายการบันทึกกิจกรรมการประมวลผล
• มาตรา 82 — โทษปรับทางปกครองไม่เกินหนึ่งล้านบาท กรณีไม่ปฏิบัติตามมาตรา 23 · มาตรา 30 วรรคสี่ (ดำเนินการตามคำขอภายใน 30 วัน) · มาตรา 39 วรรคหนึ่ง · มาตรา 41 วรรคหนึ่ง · มาตรา 42 วรรคสองหรือวรรคสาม

คำถามที่พบบ่อย

ต้องมีระบบซอฟต์แวร์สำหรับ DSAR หรือไม่

ไม่จำเป็น ประกาศไม่ได้กำหนดให้ต้องใช้เทคโนโลยีใดเป็นการเฉพาะ สิ่งที่กำหนดคือช่องทางรับคำขอ กรอบเวลา และการเก็บบันทึกไม่น้อยกว่า 2 ปี องค์กรขนาดเล็กจึงเริ่มจากทะเบียนคำขอในไฟล์ตารางและแฟ้มเอกสารได้ ส่วนองค์กรที่มีข้อมูลกระจายหลายระบบและมีคำขอเข้ามาสม่ำเสมอ อาจคุ้มค่าที่จะลงทุนกับระบบติดตามคำขอเพื่อไม่ให้เรื่องตกหล่น

ใครควรเป็นผู้อนุมัติการส่งข้อมูล

ควรเป็นผู้ที่มีอำนาจตัดสินใจแทนองค์กรและไม่ใช่ผู้ที่มีส่วนได้เสียในเรื่องนั้น โดยระบุชื่อตำแหน่งไว้เป็นลายลักษณ์อักษร ไม่ควรระบุเพียงว่าฝ่ายที่เกี่ยวข้อง เพราะเมื่อถูกถามในชั้นชี้แจงว่าใครเป็นผู้ตัดสินใจ องค์กรต้องตอบได้เป็นชื่อตำแหน่ง และในกรณีที่คำขอเกี่ยวพันกับข้อพิพาท ควรให้ทนายอ่านชุดเอกสารก่อนอนุมัติ

ถ้าค้นแล้วไม่พบข้อมูลของผู้ยื่นเลย ต้องทำอย่างไร

ต้องแจ้งผลให้ผู้ยื่นทราบพร้อมเหตุผล และบันทึกไว้ว่าค้นจากระบบใดบ้าง โดยใคร และเมื่อใด เพราะการตอบว่าไม่พบข้อมูลโดยไม่มีบันทึกการค้น มักถูกโต้แย้งได้ง่ายว่าองค์กรไม่ได้ค้นจริงหรือค้นไม่ครบ หากข้อมูลถูกทำลายไปแล้วตามตารางระยะเวลาเก็บที่กำหนดไว้ ก็ควรแจ้งข้อเท็จจริงนั้นพร้อมอ้างอิงตารางระยะเวลาเก็บขององค์กร

คำขอเข้ามาทางแชทของเพจบริษัท ถือว่าเป็นคำขอตามประกาศหรือไม่

ประกาศกำหนดให้คำขอต้องทำเป็นหนังสือหรือในรูปแบบอิเล็กทรอนิกส์ และต้องระบุรายการที่กำหนดพร้อมลงลายมือชื่อหรือลายมือชื่ออิเล็กทรอนิกส์ ข้อความในแชทที่ไม่ครบรายการจึงอาจยังไม่ใช่คำขอที่สมบูรณ์ แต่แนวทางที่ปลอดภัยกว่าคืออย่าเพิกเฉย ให้บันทึกไว้และแจ้งผู้ติดต่อถึงช่องทางและวิธีการยื่นคำขอที่ถูกต้อง เพราะการเงียบเฉยมักถูกยกเป็นประเด็นในชั้นร้องเรียน

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ