กฎใหม่ PDPA 2569 สรุปประกาศฉบับเต็ม 9 ข้อที่องค์กรต้องปรับ ห้ามพลาด

ถ้าคุณเป็นคนที่ต้องเอาเรื่องนี้ไปเสนอผู้บริหารว่าทำไมองค์กรต้องรีบปรับระบบ บทความนี้เขียนให้อ่านแล้วสรุปต่อได้ทันที เพราะกฎใหม่ PDPA 2569 ไม่ได้ยาว แต่มีรายละเอียดกรอบเวลาและหน้าที่บันทึกที่ข่าวส่วนใหญ่รายงานไม่ครบ และรายละเอียดที่ตกหล่นเหล่านั้นคือจุดที่ทำให้องค์กรถูกร้องเรียนได้ทั้งที่ตั้งใจทำตามแล้ว

ประกาศฉบับนี้คือฉบับไหน ออกโดยใคร

ชื่อเต็มคือ ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับเจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ในความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล หรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอม พ.ศ. 2569

ออกโดยอาศัยอำนาจตามมาตรา 16 (4) และมาตรา 30 วรรคห้า แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ลงนามโดยประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล เมื่อวันที่ 6 กรกฎาคม 2569 และประกาศในราชกิจจานุเบกษา เล่ม 143 ตอนพิเศษ 175 ง เมื่อวันที่ 16 กรกฎาคม 2569 · ข้อ 2 ของประกาศกำหนดว่าให้ใช้บังคับเมื่อพ้นกำหนดหกสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

พูดให้ชัดคือ ประกาศนี้ไม่ได้สร้างสิทธิใหม่ เพราะสิทธิขอเข้าถึงและขอรับสำเนามีอยู่ในมาตรา 30 ตั้งแต่ต้น สิ่งที่ประกาศทำคือใส่ "วิธีการและกรอบเวลา" ลงไปในสิทธิที่เดิมเขียนไว้กว้าง ๆ · หากต้องการภาพรวมว่าองค์กรต้องเตรียมระบบอะไรบ้าง อ่านได้ที่คู่มือขอสำเนาข้อมูลส่วนบุคคล กฎใหม่ปี 2569 ฉบับเต็ม

ตัวประกาศเขียนอะไรไว้บ้าง สรุปรายข้อ

ข้อ	เรื่อง	สาระที่องค์กรต้องทำ
ข้อ 4	ข้อมูลที่ต้องจัดให้มี	ต้องจัดให้มีข้อมูลที่เก็บจากเจ้าของข้อมูลโดยตรง · ข้อมูลที่เก็บจากแหล่งอื่น · และแหล่งที่มาของข้อมูลตามข้อหลังเท่าที่จะสามารถกระทำได้ นอกจากนี้ยังต้องจัดให้มีรายละเอียดที่ต้องแจ้งตามมาตรา 23 และรายการที่ต้องบันทึกตามมาตรา 39 ให้เจ้าของข้อมูลขอเข้าถึงหรือขอรับสำเนาได้ด้วย
ข้อ 5	ช่องทางยื่นคำขอ	ต้องมีอย่างน้อย (1) ยื่นโดยตรง ณ สถานที่ทำการหรือสถานที่ติดต่อที่แจ้งไว้ตามมาตรา 23 และ (2) ยื่นทางไปรษณีย์ · ช่องทางอิเล็กทรอนิกส์เพิ่มได้ แต่ไม่ใช่ช่องทางบังคับ · เจ้าของข้อมูลมอบอำนาจให้ผู้อื่นดำเนินการแทนได้
ข้อ 6	รูปแบบและรายการในคำขอ	ทำเป็นหนังสือหรือรูปแบบอิเล็กทรอนิกส์ ระบุอย่างน้อย ชื่อตัวและชื่อสกุล · ช่องทางหรือวิธีการสำหรับเข้าถึงหรือรับสำเนา · รายละเอียดเรื่องที่ขอ พร้อมลงลายมือชื่อหรือลายมือชื่ออิเล็กทรอนิกส์
ข้อ 6 (ต่อ)	การยืนยันตัวตน	ยื่นด้วยตนเองที่สำนักงาน ให้แสดงบัตรประจำตัวประชาชน หนังสือเดินทาง หรือเอกสารประจำตัวที่ทางราชการออกให้ · ยื่นทางไปรษณีย์หรือทางอิเล็กทรอนิกส์ ให้แนบสำเนาที่รับรองสำเนาถูกต้อง · กรณียื่นทางอิเล็กทรอนิกส์ องค์กรกำหนดวิธียืนยันตัวตนแบบอื่นแทนได้ แต่ต้องไม่สร้างอุปสรรคเกินสมควร
ข้อ 7	กรอบเวลาชั้นแรก	ตรวจรายละเอียดคำขอ เอกสารหลักฐาน และตรวจว่าผู้ยื่นเป็นเจ้าของข้อมูลหรือผู้รับมอบอำนาจจริงหรือไม่ ให้แล้วเสร็จโดยไม่ชักช้า แต่ไม่เกิน 15 วันนับแต่วันที่ได้รับคำขอ
ข้อ 8	เหตุที่ปฏิเสธได้	ปฏิเสธตามกฎหมายหรือคำสั่งศาล · กระทบสิทธิและเสรีภาพของผู้อื่น รวมถึงกรณีปรากฏข้อมูลของบุคคลอื่น ความลับของทางราชการ ความลับทางการค้า ลิขสิทธิ์ หรือทรัพย์สินทางปัญญาของผู้อื่น · คำขอไม่เป็นสาระสำคัญอย่างชัดเจนหรือเพิ่มภาระโดยไม่มีเหตุผลอันสมควร
ข้อ 9	วิธีดำเนินการ	จัดให้เข้าตรวจดู · จัดทำสำเนาเอกสารแล้วมอบหรือส่งให้ · หรือจัดให้เข้าถึงหรือรับสำเนาในรูปแบบอิเล็กทรอนิกส์หรือรูปแบบอื่นที่ร้องขอ
ข้อ 10	กรอบเวลาชั้นสอง	ดำเนินการตามคำขอโดยไม่ชักช้า แต่ไม่เกิน 30 วันนับแต่วันที่ได้รับคำขอ · ขยายได้อีกไม่เกิน 30 วันนับแต่วันครบกำหนดเดิม โดยต้องแจ้งเหตุผลความจำเป็นและรายละเอียดให้ทราบ
ข้อ 11	ค่าธรรมเนียม	กรณีให้ข้อมูลทางอิเล็กทรอนิกส์ที่ไม่ต้องทำสื่อบันทึกเฉพาะและไม่มีค่าขนส่งโดยตรง ต้องไม่เรียกเก็บ · กรณีอื่นเรียกเก็บได้ในอัตราสมเหตุสมผล ไม่เกินต้นทุนจริง และไม่เกินอัตราในบัญชีท้ายประกาศ
ข้อ 12	การเก็บบันทึก	บันทึกรายละเอียดคำขอ เอกสารหลักฐานที่ได้รับ และการดำเนินการหรือการปฏิเสธ เก็บไว้ไม่น้อยกว่า 2 ปี โดยบันทึกในรูปแบบอิเล็กทรอนิกส์ก็ได้

เรื่องนี้เกิดขึ้นบ่อยอย่างไรในทางปฏิบัติ

ตั้งแต่ PDPA บังคับใช้เต็มรูปแบบ องค์กรจำนวนมากลงทุนไปกับการทำเอกสารชุดแรก คือ Privacy Notice แบบขอความยินยอม และนโยบายภายใน แต่แทบไม่มีองค์กรใดลงทุนกับ "ขั้นตอนตอนมีคนมาใช้สิทธิจริง" เพราะที่ผ่านมาคำขอมีน้อยและไม่มีกรอบเวลาที่ชัด

ประกาศฉบับนี้เปลี่ยนสมการนั้น เพราะเมื่อมีขั้นตอนกลางที่ประชาชนอ่านได้ คำขอจะเข้ามามากขึ้นและมาพร้อมความคาดหวังที่อ้างอิงตัวประกาศได้ ที่สำคัญคือคนที่รู้เรื่องนี้ก่อนมักไม่ใช่ลูกค้าทั่วไป แต่เป็นทนายของอีกฝ่ายในคดีที่กำลังจะเกิด

คนส่วนใหญ่มักเข้าใจผิดตรงไหน

เข้าใจผิดที่ 1: "ทำฟอร์มบนเว็บไซต์ก็พอ" — ความจริง คือช่องทางที่ประกาศกำหนดให้ต้องมีคือยื่นที่สถานที่ทำการและยื่นทางไปรษณีย์ ส่วนช่องทางอิเล็กทรอนิกส์เป็นช่องทางที่ "อาจจัดให้มีเพิ่มเติม" · ผลเสีย คือองค์กรที่มีแต่ฟอร์มออนไลน์ ยังจัดช่องทางไม่ครบ

เข้าใจผิดที่ 2: "ขอเอกสารเพิ่ม แล้วนาฬิกาหยุด" — ความจริง คือเมื่อผู้ยื่นแก้ไขหรือส่งเอกสารเพิ่มเติมครบถ้วนแล้ว ให้ถือว่าองค์กร "ได้รับคำขอ" ตั้งแต่วันนั้น นาฬิกาเริ่มนับใหม่ ไม่ใช่หยุดค้างไว้ · ผลเสีย คือองค์กรที่ทยอยขอเอกสารเพิ่มทีละอย่างเพื่อยืดเวลา สุดท้ายอธิบายในชั้นชี้แจงไม่ได้

เข้าใจผิดที่ 3: "ROPA เป็นเอกสารภายใน ไม่ต้องให้ใครดู" — ความจริง คือข้อ 4 วรรคสองกำหนดว่ารายการที่ต้องบันทึกตามมาตรา 39 เป็นสิ่งที่เจ้าของข้อมูลขอเข้าถึงหรือขอรับสำเนาได้ด้วย · ผลเสีย คือ ROPA ที่คัดลอกเทมเพลตมาแล้วไม่ตรงกับงานจริง จะกลายเป็นหลักฐานมัดตัวเมื่อถูกขอดู

เข้าใจผิดที่ 4: "คิดค่าถ่ายเอกสารเท่าไรก็ได้ถ้าไม่แพงเกิน" — ความจริง คือบัญชีท้ายประกาศกำหนดเพดานไว้ เช่น สำเนาโดยเครื่องถ่ายเอกสารขนาด A4 หน้าละไม่เกิน 1 บาท และการให้คำรับรองถูกต้องของข้อมูล คำรับรองละไม่เกิน 5 บาท · ผลเสีย คือการตั้งอัตราเองสูงกว่านั้นเป็นการฝ่าฝืนประกาศโดยตรง

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า… ประกาศฉบับนี้เป็นเรื่องของฝ่ายไอทีที่ต้องไปทำระบบ DSAR ให้ค้นข้อมูลได้เร็วขึ้น

แต่ในทางคดี กฎหมายและศาลมักมองว่า… ประกาศนี้คือ "ไม้บรรทัด" ที่ใช้วัดย้อนหลังว่าองค์กรทำตามหรือไม่ เพราะทุกข้อในประกาศแปลงเป็นคำถามในชั้นชี้แจงได้หมด — ได้รับคำขอวันไหน ตรวจเสร็จวันไหน แจ้งขยายเวลาหรือยัง ปฏิเสธเพราะอะไร และจดไว้ที่ไหน

จุดเสี่ยงจริงอยู่ตรงนี้… องค์กรส่วนใหญ่จะตอบคำถามข้อแรกไม่ได้ด้วยซ้ำ เพราะไม่มีจุดลงทะเบียนวันรับคำขอที่เป็นทางการ คำขอเข้ามาทางอีเมลของหัวหน้าแผนกบ้าง ทางแชทบ้าง และไม่มีใครรู้ว่านาฬิกาเริ่มเดินตั้งแต่เมื่อไร

ทางเลือกที่ควรทำต่อคือ… เริ่มจากสิ่งที่ถูกที่สุดและได้ผลมากที่สุดก่อน คือสมุดทะเบียนคำขอกลางที่บันทึกวันรับ ผู้รับ สถานะ และวันครบกำหนดทั้งสองชั้น ยังไม่ต้องซื้อระบบใด ๆ ก็เริ่มได้ในสัปดาห์นี้

ปลายทางถ้าพลาด

ถ้าองค์กรไม่ทำตามประกาศนี้ เส้นทางที่เรื่องจะเดินโดยหลักคือ เจ้าของข้อมูลร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จากนั้นคณะกรรมการผู้เชี่ยวชาญอาจเรียกให้ชี้แจง และตามมาตรา 90 ในกรณีที่เห็นสมควรจะสั่งให้แก้ไขหรือตักเตือนก่อนก็ได้ ก่อนจะไปถึงคำสั่งลงโทษปรับทางปกครอง

สิ่งที่ต้องแยกให้ออกคือ ประเด็น "ไม่ให้ข้อมูล" กับประเด็น "ไม่บันทึก" เป็นคนละฐานความผิด · มาตรา 30 วรรคสี่ คือหน้าที่ดำเนินการตามคำขอให้เสร็จภายใน 30 วัน ส่วนมาตรา 30 วรรคสาม คือหน้าที่บันทึกการปฏิเสธพร้อมเหตุผลไว้ในรายการตามมาตรา 39 · มาตรา 82 กำหนดโทษปรับทางปกครองไม่เกินหนึ่งล้านบาทสำหรับการไม่ปฏิบัติตามมาตรา 30 วรรคสี่ และมาตรา 39 วรรคหนึ่ง องค์กรจึงอาจปฏิเสธคำขอโดยชอบ แต่ยังมีความเสี่ยงหากรายการบันทึกไม่ครบ

หลักฐานที่ต้องเก็บ

• ทะเบียนคำขอกลาง ที่ระบุวันรับคำขอ ผู้รับ และวันครบกำหนดทั้งกรอบ 15 วันและ 30 วัน
• สำเนาคำขอ เอกสารยืนยันตัวตน และหนังสือมอบอำนาจพร้อมอากรแสตมป์ (ถ้ามีการมอบอำนาจ)
• หนังสือแจ้งให้แก้ไขหรือส่งเอกสารเพิ่มเติม ที่ระบุกำหนดเวลาไม่น้อยกว่า 10 วัน
• หนังสือแจ้งขยายเวลาพร้อมเหตุผลความจำเป็น
• บันทึกการปกปิดข้อมูลบุคคลที่สาม พร้อมไฟล์ก่อนและหลัง
• หนังสือแจ้งผลหรือหนังสือปฏิเสธพร้อมเหตุผล และรายการบันทึกตามมาตรา 39
• หลักฐานการแจ้งอัตราค่าธรรมเนียมก่อนหรือขณะใช้สิทธิ (ถ้าเรียกเก็บ)

ทั้งหมดนี้ต้องเก็บไม่น้อยกว่า 2 ปี ซึ่งเป็นระยะเวลาขั้นต่ำ ไม่ใช่ระยะเวลาที่เหมาะสมเสมอไป — หากคำขอนั้นเกี่ยวพันกับข้อพิพาทที่มีอายุความยาวกว่านั้น องค์กรควรเก็บให้ครอบคลุมอายุความของข้อพิพาทด้วย

ถ้าเป็นฝ่ายองค์กร ต้องเช็กอะไรบ้าง

• ที่อยู่และสถานที่ติดต่อที่แจ้งไว้ใน Privacy Notice ตรงกับที่รับคำขอได้จริงหรือไม่
• มีคนรับจดหมายและรู้หรือไม่ว่าซองแบบไหนคือคำขอใช้สิทธิที่ต้องส่งต่อทันที
• แบบฟอร์มคำขอครอบคลุมรายการตามข้อ 6 ครบหรือยัง
• วิธียืนยันตัวตนทางอิเล็กทรอนิกส์ที่ใช้อยู่ ถือว่าสร้างอุปสรรคเกินสมควรหรือไม่
• ROPA ตามมาตรา 39 อยู่ในสภาพที่ให้คนนอกดูได้หรือยัง
• อัตราค่าธรรมเนียมที่ตั้งไว้ เกินเพดานในบัญชีท้ายประกาศหรือไม่
• บันทึกคำขอเก็บไว้ที่ไหน ใครเข้าถึงได้ และค้นย้อนหลัง 2 ปีได้จริงหรือไม่

อีกฝ่ายอาจโต้แย้งอย่างไร

• "องค์กรไม่มีช่องทางให้ยื่นตามประกาศ" — ใช้ได้ผลกับองค์กรที่มีแต่ฟอร์มออนไลน์ หรือที่อยู่ใน Privacy Notice ติดต่อไม่ได้จริง
• "นับวันรับคำขอผิด" — โต้แย้งว่าองค์กรได้รับคำขอตั้งแต่วันที่ส่งอีเมลฉบับแรก ไม่ใช่วันที่ฝ่ายกฎหมายเพิ่งเห็น
• "ขอเอกสารเพิ่มโดยไม่จำเป็น" — โต้แย้งว่าองค์กรขอข้อมูลเกินกว่าที่จำเป็นแก่การระบุตัวตน จนกลายเป็นการสร้างอุปสรรค
• "อ้างขยายเวลาแบบลอย ๆ" — การขยายเวลาต้องมีเหตุผลความจำเป็นและรายละเอียด ไม่ใช่แจ้งเพียงว่าข้อมูลเยอะ
• "เรียกค่าธรรมเนียมเกินเพดาน" — เทียบกับบัญชีท้ายประกาศได้ตรง ๆ ไม่ต้องตีความ

ก่อนวันบังคับใช้ ควรทำอะไรตามลำดับ

1. อ่านตัวประกาศฉบับเต็มจากราชกิจจานุเบกษา อย่าอ่านจากข่าวสรุปอย่างเดียว
2. เปิดสมุดทะเบียนคำขอกลาง แล้วประกาศภายในว่าใครเจอคำขอต้องส่งมาที่ใดภายในวันเดียวกัน
3. ทบทวนช่องทางยื่นคำขอให้ครบตามข้อ 5 และแก้ Privacy Notice ให้ที่อยู่ติดต่อตรงกับความจริง
4. ทำแบบฟอร์มคำขอและแบบฟอร์มหนังสือแจ้ง 4 ฉบับ
5. เทียบอัตราค่าธรรมเนียมที่ใช้อยู่กับบัญชีท้ายประกาศ แล้วปรับให้ไม่เกินเพดาน
6. ทบทวน ROPA ตามมาตรา 39 ให้ตรงกับงานจริง เพราะเอกสารนี้ถูกขอดูได้

กรณีแบบไหนที่ควรปรึกษาทนาย

• องค์กรอยู่ในธุรกิจที่มีกฎหมายเฉพาะซ้อนทับ เพราะข้อ 13 กำหนดให้ทำตามกฎหมายนั้นแต่ต้องสอดคล้องกับประกาศนี้ด้วย
• กำลังจะปฏิเสธคำขอ ไม่ว่าทั้งหมดหรือบางส่วน
• คำขอเข้ามาพร้อมกับหนังสือทวงถามหรือหนังสือจากทนายของอีกฝ่าย หรือผู้ยื่นเป็นอดีตพนักงานที่ขอสำเนาแฟ้มประวัติ
• ไม่แน่ใจว่าข้อมูลชุดที่ขอเข้าข่ายความลับทางการค้าหรือทรัพย์สินทางปัญญาของบุคคลอื่นหรือไม่
• ต้องการกำหนดอัตราค่าธรรมเนียมสำหรับกรณีคำขอปริมาณมาก
• เคยตอบคำขอไปแล้วโดยไม่ได้บันทึกอะไรไว้เลย และอยากประเมินความเสี่ยงย้อนหลัง

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

เราอ่านประกาศฉบับเต็มแล้วแปลงเป็นขั้นตอนที่องค์กรใช้ได้จริง ไม่ใช่ส่งไฟล์ประกาศให้ไปอ่านเอง ซึ่งเป็นส่วนหนึ่งของงานที่ปรึกษากฎหมาย PDPA สำหรับองค์กร โดยเริ่มจากการตรวจความพร้อม PDPA เพื่อดูว่าของเดิมที่ทำไว้ขาดตรงไหนก่อน แล้วจึงวางขั้นตอนรับคำขอและระบบข้อมูลพนักงาน ให้ตรงกับที่ประกาศกำหนด

จุดที่เราให้ความสำคัญเป็นพิเศษคือการจัดระบบเอกสารและพยานหลักฐานตั้งแต่ต้น เพราะในเรื่องนี้ องค์กรที่แพ้มักไม่ใช่องค์กรที่ทำผิด แต่เป็นองค์กรที่ทำถูกแล้วพิสูจน์ไม่ได้ว่าทำ

สรุป

กฎใหม่ PDPA 2569 ไม่ได้ยากในเชิงเนื้อหา แต่ยากในเชิงวินัย เพราะทุกข้อผูกกับวันเวลาและเอกสาร สิ่งที่ควรจำให้ได้มี 5 ตัวเลข คือ 15 วันสำหรับตรวจคำขอ 10 วันเป็นอย่างน้อยสำหรับให้แก้ไขเอกสาร 30 วันสำหรับดำเนินการ 30 วันสำหรับขยายเวลา และ 2 ปีสำหรับเก็บบันทึก

องค์กรที่เริ่มจากสมุดทะเบียนคำขอกลางในสัปดาห์นี้ จะพร้อมกว่าองค์กรที่รอซื้อระบบใหญ่ในปีหน้ามาก เพราะสิ่งที่ถูกตรวจในวันจริงคือบันทึก ไม่ใช่ซอฟต์แวร์

หากคุณกำลังเจอปัญหาลักษณะนี้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• ประกาศ กคส. เรื่อง หลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคลฯ พ.ศ. 2569 — ราชกิจจานุเบกษา เล่ม 143 ตอนพิเศษ 175 ง วันที่ 16 ก.ค. 2569 · ออกตามมาตรา 16 (4) และมาตรา 30 วรรคห้า
• ประกาศฯ ข้อ 2 — ใช้บังคับเมื่อพ้นกำหนดหกสิบวันนับแต่วันประกาศในราชกิจจานุเบกษา
• ประกาศฯ ข้อ 4–6 — ข้อมูลที่ต้องจัดให้มี ช่องทางยื่นคำขอ รายการในคำขอ และวิธียืนยันตัวตน
• ประกาศฯ ข้อ 7 และข้อ 10 — กรอบเวลา 15 วันสำหรับตรวจคำขอ และ 30 วันสำหรับดำเนินการ ขยายได้อีกไม่เกิน 30 วัน
• ประกาศฯ ข้อ 8–9 — เหตุที่ปฏิเสธได้ หน้าที่ปกปิดแทนการปฏิเสธ และวิธีดำเนินการตามคำขอ
• ประกาศฯ ข้อ 11 และบัญชีท้ายประกาศ — หลักเกณฑ์ค่าธรรมเนียมและเพดานอัตรา เช่น สำเนาโดยเครื่องถ่ายเอกสาร A4 หน้าละไม่เกิน 1 บาท · สำเนาจากเครื่องพิมพ์คอมพิวเตอร์บนกระดาษ A4 ขาว-ดำ หน้าละไม่เกิน 3 บาท · คำรับรองความถูกต้องของข้อมูล คำรับรองละไม่เกิน 5 บาท
• ประกาศฯ ข้อ 12–13 — เก็บบันทึกไม่น้อยกว่า 2 ปี และการปรับใช้เมื่อมีกฎหมายอื่นกำหนดหน้าที่ไว้
• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 23 · มาตรา 30 · มาตรา 39 — การแจ้งวัตถุประสงค์ สิทธิเข้าถึงและขอรับสำเนา และรายการบันทึกกิจกรรมการประมวลผล
• มาตรา 82 — โทษปรับทางปกครองไม่เกินหนึ่งล้านบาท กรณีไม่ปฏิบัติตามมาตรา 23 · มาตรา 30 วรรคสี่ (ดำเนินการตามคำขอภายใน 30 วัน) · มาตรา 39 วรรคหนึ่ง · มาตรา 41 วรรคหนึ่ง · มาตรา 42 วรรคสองหรือวรรคสาม และกรณีอื่นที่ระบุไว้ในมาตรานั้น

คำถามที่พบบ่อย

ประกาศฉบับนี้ใช้กับองค์กรขนาดเล็กด้วยหรือไม่

ประกาศฉบับนี้กำหนดหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่ได้แบ่งตามขนาดกิจการ องค์กรขนาดเล็กที่เป็นผู้ควบคุมข้อมูลจึงมีหน้าที่ตามประกาศเช่นเดียวกัน เพียงแต่ระดับของระบบที่เหมาะสมย่อมต่างกันตามปริมาณข้อมูลและลักษณะกิจกรรม ทั้งนี้กฎหมายลำดับรองบางฉบับอาจผ่อนปรนหน้าที่บางเรื่องให้กิจการขนาดเล็ก ควรตรวจสอบหลักเกณฑ์ล่าสุดเป็นรายกรณี

ต้องมีฟอร์มออนไลน์ให้ยื่นคำขอหรือไม่

ไม่จำเป็น ประกาศกำหนดช่องทางที่ต้องจัดให้มีไว้สองช่องทาง คือยื่นโดยตรง ณ สถานที่ทำการหรือสถานที่ติดต่อที่แจ้งไว้ตามมาตรา 23 และยื่นทางไปรษณีย์ ส่วนช่องทางอิเล็กทรอนิกส์หรือช่องทางอื่นเป็นสิ่งที่ผู้ควบคุมข้อมูล "อาจจัดให้มีเพิ่มเติม" ได้ องค์กรที่มีเฉพาะฟอร์มออนไลน์จึงยังถือว่าจัดช่องทางไม่ครบตามประกาศ

ถ้าเอกสารประกอบคำขอไม่ครบ นาฬิกาหยุดเดินไหม

ไม่ได้หยุดค้างไว้ แต่เริ่มนับใหม่ ประกาศกำหนดว่าเมื่อพบว่าคำขอหรือเอกสารไม่ถูกต้องหรือไม่ครบถ้วน ให้แจ้งเป็นหนังสือหรือทางอิเล็กทรอนิกส์ให้แก้ไขหรือส่งเอกสารเพิ่มเติมภายในเวลาที่กำหนดซึ่งต้องไม่น้อยกว่า 10 วัน และให้ถือว่าผู้ควบคุมข้อมูลได้รับคำขอตั้งแต่วันที่ได้รับคำขอที่แก้ไขหรือเอกสารที่ครบถ้วนแล้ว หากผู้ยื่นไม่ดำเนินการภายในกำหนด ให้ถือว่าละทิ้งคำขอ แต่ไม่ตัดสิทธิที่จะยื่นใหม่

บันทึกคำขอต้องเก็บนานแค่ไหน

ประกาศกำหนดให้บันทึกรายละเอียดเกี่ยวกับคำขอและเอกสารหลักฐานที่ได้รับ รวมทั้งการดำเนินการหรือการปฏิเสธการดำเนินการตามคำขอ เก็บไว้ไม่น้อยกว่า 2 ปี เพื่อประโยชน์ในการตรวจสอบและอ้างอิง โดยจะบันทึกในรูปแบบอิเล็กทรอนิกส์ก็ได้ ทั้งนี้ 2 ปีเป็นระยะเวลาขั้นต่ำ หากคำขอนั้นเกี่ยวพันกับข้อพิพาทที่มีอายุความยาวกว่า องค์กรควรพิจารณาเก็บให้ครอบคลุมด้วย

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ