ตำรวจหรือหน่วยงานรัฐขอข้อมูลลูกค้า บริษัทส่งได้แค่ไหน

ตำรวจขอข้อมูลลูกค้าอาจมาเป็นหนังสือ ทางโทรศัพท์ หรือข้อความเร่งด่วน เจ้าหน้าที่บริษัทต้องช่วยตามหน้าที่โดยไม่ส่งข้อมูลผิดคน ขั้นตอนที่ดีควรทำให้ตรวจอำนาจได้เร็วและเลือกข้อมูลให้ตรงเรื่อง แทนการปฏิเสธทุกครั้งว่า PDPA ห้าม หรือส่งฐานลูกค้าทั้งระบบทันที

สถานการณ์ที่ต้องแยกก่อนตัดสินใจ

กรณีต่อไปนี้เป็นตัวอย่างสมมติ ใช้อธิบายความแตกต่างของข้อเท็จจริง ไม่ใช่ข้อมูลลูกความหรือคำพิพากษา

• ได้รับหนังสือระบุคดี ช่วงเวลาและรายการข้อมูลชัดเจน บริษัทตรวจผู้ออกและอำนาจก่อนจัดข้อมูลตามขอบเขต
• ผู้โทรอ้างว่าเป็นตำรวจและขอให้ส่งสำเนาบัตรลูกค้าเข้าแชตส่วนตัว ต้องยืนยันผ่านช่องทางหน่วยงานก่อน ไม่อาศัยรูปโปรไฟล์หรือชื่อยศ
• หนังสือขอข้อมูลจำนวนมากโดยไม่ชัดว่าเกี่ยวกับเหตุใด บริษัทควรขอชี้แจงขอบเขตผ่านผู้รับผิดชอบ โดยไม่ลบทิ้งหรือปล่อยกำหนดตอบผ่านไป

เริ่มแก้ปัญหาตามลำดับใด

รับเรื่องเข้าส่วนกลาง ตรวจผู้ขอและหนังสือจากช่องทางทางการ ให้ผู้รับผิดชอบกฎหมายตรวจอำนาจและฐานของข้อมูลแต่ละประเภท ระบุข้อมูลที่ตรงกับคำขอ เลือกช่องทางส่งที่เหมาะสมและเก็บหลักฐาน หากขอบเขตไม่ชัดให้ประสานชี้แจงทันกำหนด

ตำรวจขอข้อมูลลูกค้า ต้องตรวจอะไรในหนังสือ

แยกขอความร่วมมือจากคำสั่งที่มีอำนาจ

เอกสารสองแบบอาจมีผลทางกฎหมายต่างกัน ต้องดูผู้ออก ฐานอำนาจ วัตถุประสงค์และรายการที่ขอ ไม่วินิจฉัยจากหัวกระดาษเพียงอย่างเดียว หากเป็นหน้าที่ตามกฎหมายของบริษัท อาจพิจารณามาตรา 24(6) สำหรับข้อมูลทั่วไป หากเป็นเพียงคำขอความร่วมมือต้องประเมินฐานที่เหมาะกับข้อเท็จจริง ไม่เขียนตอบว่าเป็นหน้าที่ตามกฎหมายทั้งที่ยังไม่พบอำนาจรองรับ

มาตรา 4(5) มีขอบเขตเฉพาะ

ตัวบทกล่าวถึงการพิจารณาพิพากษาของศาลและการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดี การบังคับคดี การวางทรัพย์ รวมถึงกระบวนการยุติธรรมทางอาญา การนำข้อยกเว้นมาใช้ต้องผูกกับกิจกรรมที่เข้าข่ายจริง บริษัทที่เก็บข้อมูลเพื่อค้าขายยังต้องดูหน้าที่ของตนในการรับและเปิดเผยข้อมูล ไม่ถือว่าหนังสือฉบับเดียวทำให้ฐานลูกค้าทั้งหมดพ้น PDPA

ข้อมูลอ่อนไหวต้องมีการตรวจอีกชั้น

ใบรับรองแพทย์ ประวัติอาชญากรรมหรือข้อมูลชีวมิติต้องดูมาตรา 26 และกฎหมายเฉพาะที่เกี่ยวข้อง ฐานตามมาตรา 24 สำหรับข้อมูลทั่วไปไม่เพียงพอโดยตัวเอง ผู้ตรวจควรแยกว่าคำขอต้องการข้อเท็จจริงใด และมีข้อมูลที่ตอบได้โดยไม่ส่งรายละเอียดอ่อนไหวทั้งหมดหรือไม่ แต่ไม่ควรแก้หรือตัดส่วนที่คำสั่งชอบด้วยกฎหมายให้ส่งโดยพลการ

ยืนยันผู้รับและส่งให้ตรงขอบเขต

ใช้หมายเลขหรือช่องทางที่ตรวจจากหน่วยงานจริง ยืนยันตำแหน่งผู้รับและวิธีรับเอกสาร บันทึกชุดข้อมูลที่ส่ง วันเวลาและผู้อนุมัติ หากส่งไฟล์ให้จำกัดผู้เข้าถึงและตั้งการป้องกันตามความเสี่ยง การรีบส่งเข้าอีเมลส่วนตัวที่ไม่เคยตรวจอาจทำให้การช่วยคดีกลายเป็นเหตุข้อมูลหลุดอีกเรื่อง

คำตอบที่ยังส่งไม่ได้ควรบอกเหตุให้ตรวจต่อได้

ถ้าค้นไม่พบหรือข้อมูลพ้นระยะเก็บโดยชอบแล้ว ให้ตอบตามข้อเท็จจริงพร้อมขอบเขตที่ค้น หากต้องขอเวลาเพิ่มให้สื่อสารก่อนครบกำหนดและตรวจว่ามีสิทธิขอได้อย่างไร การแจ้งลูกค้าว่ามีเจ้าหน้าที่ขอข้อมูลต้องดูข้อจำกัดของกระบวนการและกฎหมายที่เกี่ยวข้องด้วย ไม่ใช้ขั้นตอนแจ้งลูกค้าอัตโนมัติจนกระทบการสอบสวนหรือฝ่าฝืนคำสั่ง

ข้อกฎหมายที่ใช้และเงื่อนไขที่ต้องระวัง

PDPA มาตรา 24 และ 26 ใช้ตรวจฐานตามประเภทข้อมูล มาตรา 27 วรรคสามกำหนดการบันทึกการใช้หรือเปิดเผยที่ได้รับยกเว้นไม่ต้องขอความยินยอมไว้ในรายการตามมาตรา 39 ส่วนมาตรา 4(5) เป็นข้อยกเว้นตามกิจกรรมกระบวนการยุติธรรมที่ระบุ ต้องตรวจอำนาจตามกฎหมายที่เจ้าหน้าที่ใช้ในคำขอแต่ละฉบับด้วย

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ฉบับราชกิจจานุเบกษา เป็นตัวบทหลักที่ใช้อ้างอิงในบทความนี้

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วต้องรับมืออะไร

ถ้าบริษัทส่งผิดคนหรือเกินอำนาจ อาจมีข้อร้องเรียนจากลูกค้า ส่วนการไม่ปฏิบัติตามคำสั่งที่ชอบด้วยกฎหมายก็อาจมีผลตามกฎหมายที่ให้อำนาจนั้น ทนายจึงควรตรวจทั้งสองด้านพร้อมกันและเก็บเหตุผลการตัดสินใจ ไม่ใช้คำว่าเกรงใจเจ้าหน้าที่หรือกลัว PDPA แทนการวิเคราะห์

หลักฐานที่ควรเก็บก่อนข้อมูลเปลี่ยนไป

• หนังสือคำขอหรือคำสั่งและเอกสารแนบฉบับรับจริง
• ผลยืนยันตัวผู้ขอผ่านช่องทางหน่วยงาน
• บันทึกฐานอำนาจ ขอบเขตและข้อมูลแต่ละประเภท
• สำเนาคำตอบและรายการไฟล์ที่ส่ง
• หลักฐานผู้รับ วันเวลาส่งและมาตรการป้องกันระหว่างส่ง

ให้เจ้าของงานระบุว่าเอกสารแต่ละฉบับใช้กับกระบวนการใด ใครเป็นผู้อนุมัติ และเริ่มใช้เมื่อใด เก็บหลักฐานการทำงานจริงประกอบแบบฟอร์ม เช่น ผลทดสอบสิทธิหรือบันทึกการส่งข้อมูล หากพบว่าเอกสารกับระบบไม่ตรงกัน ให้บันทึกช่องว่างและผู้รับผิดชอบแก้ไข ไม่เปลี่ยนบันทึกย้อนหลังให้ดูเหมือนปฏิบัติถูกต้องมาตั้งแต่ต้น

ก่อนส่งหลักฐานให้ผู้อื่น ตรวจว่ามีข้อมูลที่ไม่เกี่ยวข้องปะปนหรือไม่ สำเนาสำหรับตรวจอาจปกปิดส่วนที่ไม่จำเป็นได้ โดยรักษาต้นฉบับไว้ในพื้นที่จำกัดสิทธิ บันทึกผู้รับ วันที่ส่งและวัตถุประสงค์ หากมีข้อพิพาทต้องพิจารณาระยะเก็บและการพักทำลายเฉพาะส่วนที่เกี่ยวข้อง ไม่ใช้เหตุเตรียมคดีเป็นข้ออ้างเก็บข้อมูลทุกชุดไม่มีกำหนด

หนังสือราชการขอข้อมูลทั้งฐาน บริษัทควรตรวจอย่างไร

แยกรายการที่ตรงอำนาจและประเด็นในหนังสือออกจากข้อมูลอื่นที่ติดมาในระบบ หากขอบเขตไม่ชัด ให้ติดต่อหน่วยงานจากช่องทางที่ตรวจสอบได้เพื่อขอรายละเอียด พร้อมบันทึกการหารือและกำหนดตอบ การขอคำชี้แจงไม่ได้ทำให้กำหนดตามคำสั่งหยุดเอง บริษัทจึงควรส่งเรื่องให้ผู้มีอำนาจตัดสินใจทันที อย่าเลือกส่งทั้งหมดเพื่อกันความรับผิด หรือปฏิเสธทั้งหมดด้วยคำว่า PDPA โดยยังไม่ได้ตรวจฐานอำนาจ

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลานี้เป็นตัวอย่างแผนจัดงาน ไม่ใช่กำหนดตามกฎหมาย หากมีเหตุเร่งด่วน หนังสือกำหนดตอบหรืออายุความ ต้องดำเนินการตามกำหนดนั้นก่อน

ช่วงเวลา	สิ่งที่ควรทำ
วันนี้	รับเรื่องเข้าส่วนกลางและยืนยันผู้ขอ
ภายใน 7 วัน	ตรวจอำนาจกับขอบเขตและตอบตามกำหนดจริงที่อาจเร็วกว่านี้
ภายใน 30 วัน	ทบทวนกระบวนการรับหนังสือและแก้จุดที่ตรวจผู้รับไม่ได้

ข้อผิดพลาดที่ควรหลีกเลี่ยง

อย่าขอความยินยอมลูกค้าเป็นขั้นตอนบังคับทุกกรณีที่มีกฎหมายให้เปิดเผย และอย่าส่งข้อมูลทั้งหมดเพียงเพราะคำขอมีตราหน่วยงาน การใช้ข้อยกเว้นอย่างกว้างหรืออ้าง PDPA ปฏิเสธอย่างกว้างต่างทำให้ตอบไม่ตรงหน้าที่

อ่านต่อและเตรียมเรื่องก่อนปรึกษา

อ่านภาพรวมในPDPA Audit-Ready หลักฐานที่องค์กรต้องมีเมื่อถูกตรวจหรือร้องเรียน แล้วนำมาเทียบกับเหตุการณ์และเอกสารของตน

เรื่องที่เกี่ยวข้องโดยตรงคือใช้ข้อมูลส่วนบุคคลของคู่กรณีเป็นหลักฐานฟ้องคดี ต้องขออนุญาตไหม และติด CCTV ในร้านต้องมีป้ายอะไร และลูกค้าขอดูภาพได้แค่ไหน

หากต้องพิจารณาขั้นตอนที่เชื่อมกัน อ่านคู่มือจัดการคู่ค้าและ DPA สำหรับองค์กร ก่อนส่งข้อมูลจนเลิกใช้ระบบประกอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจฐานอำนาจและขอบเขตหนังสือราชการ จัดชุดข้อมูลที่ต้องส่งและบันทึกเหตุผลการเปิดเผยผ่านบริการกฎหมาย PDPA โดยประเด็นที่เกี่ยวข้องสามารถประเมินร่วมกับกฎหมายอาญา ก่อนนัดหมายปรึกษา ควรเตรียมลำดับเหตุการณ์ เอกสารที่ได้รับ และผลที่ต้องการให้อีกฝ่ายดำเนินการ เพื่อประเมินทางเลือกจากหลักฐานที่มีจริง

บทความโดยนายเอกราช ทิพย์แมม ดูข้อมูลผู้เขียนและทีมทนายความยอดทิพย์ธรรมประกอบการติดต่อ

อ่านต่อ: สิทธิและแนวปฏิบัติในสถานการณ์ที่เกี่ยวข้อง

• PDPA โรงพยาบาลและคลินิก ใครดูเวชระเบียนได้และใช้ภาพคนไข้ได้แค่ไหน

ข้อกฎหมายที่เกี่ยวข้อง

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 4(5): ข้อยกเว้นตามกิจกรรมกระบวนการยุติธรรมที่ระบุ
• มาตรา 24 และ 26: ฐานข้อมูลทั่วไปและเงื่อนไขข้อมูลอ่อนไหวต้องตรวจแยก
• มาตรา 27 วรรคสาม ประกอบมาตรา 39: การบันทึกการใช้หรือเปิดเผยที่ได้รับยกเว้นไม่ต้องขอความยินยอม
• ฐานอำนาจของคำขอแต่ละฉบับต้องตรวจจากกฎหมายที่เจ้าหน้าที่อ้าง ไม่อนุมานจากหัวกระดาษหรือชื่อตำแหน่ง

คำถามที่พบบ่อย

ตำรวจขอแล้วต้องขอความยินยอมลูกค้าก่อนไหม

ไม่เสมอ หากเป็นการเปิดเผยที่มีกฎหมายและฐานรองรับอาจไม่ต้องขอความยินยอม แต่ต้องตรวจอำนาจและขอบเขตจริง ข้อมูลอ่อนไหวต้องตรวจมาตรา 26 และกฎหมายเฉพาะเพิ่มเติมด้วย

ขอทางโทรศัพท์ส่งให้ได้เลยหรือไม่

ควรยืนยันตัวผู้ขอ หน่วยงานและฐานอำนาจผ่านช่องทางที่เชื่อถือได้ก่อน โดยเฉพาะคำขอให้ส่งไปยังบัญชีส่วนตัวที่ไม่เคยตรวจ หากมีหนังสือหรือเลขคดี ควรใช้ตรวจกลับกับหน่วยงานก่อนส่งข้อมูล

ส่งแล้วต้องมีบันทึกไหม

ควรเก็บหลักฐานคำขอ การตรวจและรายการที่ส่ง และต้องพิจารณาหน้าที่บันทึกการเปิดเผยตามมาตรา 27 วรรคสามกับมาตรา 39 รายการควรแสดงชุดข้อมูล ผู้รับ วันเวลาและผู้อนุมัติ เพื่อให้ตรวจย้อนหลังได้

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ