ลบข้อมูลส่วนบุคคลอย่างไรให้ลบจริง — 6 ที่ที่ข้อมูลรอดจากการกดลบ และหลักฐานที่ต้องเก็บ

องค์กรตอบผู้ขอไปว่าลบข้อมูลเรียบร้อยแล้ว สามเดือนต่อมามีการตรวจสอบแล้วพบว่าข้อมูลชุดเดิมยังอยู่ในสำเนาสำรองและในไฟล์รายงานที่เคยส่งออกไป ปัญหาที่ตามมาจึงหนักกว่าเรื่องเดิม เพราะกลายเป็นว่าองค์กรให้ข้อมูลที่ไม่ตรงความจริง การลบข้อมูลส่วนบุคคลให้ลบจริงจึงไม่ใช่งานของคนกดปุ่ม แต่เป็นงานของคนที่รู้ว่าข้อมูลชุดนั้นเคยเดินทางไปที่ใดบ้าง บทความนี้ไล่ทั้งหกที่ที่ข้อมูลมักรอด พร้อมบอกว่าต้องเก็บอะไรไว้ยัน

หกที่ที่ข้อมูลรอดจากการกดลบ

ที่ซ่อน	ทำไมจึงรอด	ต้องทำอะไร
1 · ถังขยะของระบบ	การกดลบเป็นเพียงการย้าย ยังกู้คืนได้จนกว่าจะถูกล้าง	ล้างถังขยะ และตั้งค่าให้ล้างอัตโนมัติในรอบที่กำหนด
2 · สำเนาสำรอง	สำรองไว้เพื่อกู้ระบบ จึงมีข้อมูลย้อนหลังหลายรอบตามนโยบาย	ระบุรอบทำลายของสำเนาสำรอง และแจ้งผู้ขอตามความจริงว่าจะหมดไปเมื่อใด
3 · ไฟล์ที่ซิงก์และประวัติเวอร์ชัน	บริการเก็บไฟล์มักเก็บเวอร์ชันก่อนหน้าไว้แม้ลบไฟล์ปัจจุบันแล้ว	ลบประวัติเวอร์ชันด้วย ไม่ใช่ลบเฉพาะไฟล์ล่าสุด
4 · กล่องจดหมายส่งออกและเครื่องผู้รับ	ไฟล์ที่เคยแนบส่งไปแล้วอยู่ในกล่องของทั้งผู้ส่งและผู้รับ	ไล่หาจากคำค้นในระบบเมล และแจ้งผู้รับภายในให้ลบพร้อมยืนยัน
5 · รายงานหรือไฟล์ตารางที่ส่งออกไปแล้ว	คนดึงข้อมูลออกมาทำรายงานแล้วเก็บไว้ในเครื่องตัวเอง	ถามผู้ที่เคยขอข้อมูลชุดนั้นโดยตรง เพราะระบบกลางค้นไม่เจอ
6 · ระบบของคู่ค้า	ข้อมูลถูกส่งไปตามงาน เช่น ระบบเงินเดือนหรือระบบรับสมัครงาน	แจ้งคู่ค้าเป็นลายลักษณ์อักษรและเรียกหลักฐานการทำลายกลับมา

ข้อ 5 คือข้อที่ค้นยากที่สุด เพราะไม่มีระบบใดบันทึกไว้ว่าใครเคยดึงข้อมูลชุดนั้นออกไปเมื่อไร ทางแก้ที่ได้ผลจริงคือควบคุมตั้งแต่ต้นทาง คือจำกัดสิทธิการส่งออกข้อมูลและบันทึกไว้ทุกครั้งว่าใครส่งออกอะไร ซึ่งเป็นเรื่องเดียวกับหลักฐานที่ต้องมีตามกฎใหม่ปี 2569 เรื่องขอเข้าถึงและขอสำเนาข้อมูลส่วนบุคคล ส่วนข้อ 6 ต้องจบด้วยใบรับรองการทำลายข้อมูลจากคู่ค้า

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า การลบเป็นเรื่องเทคนิคของฝ่ายไอที ถ้าไอทีบอกว่าลบแล้วก็ถือว่าจบ และฝ่ายกฎหมายไม่ต้องเข้ามายุ่ง

แต่ในทางคดี กฎหมายและผู้พิจารณามักมองว่า คำว่าลบแล้วเป็นข้อความที่องค์กรยืนยันต่อบุคคลภายนอก จึงเป็นคำยืนยันที่ต้องพิสูจน์ได้ ไม่ใช่ความเห็นทางเทคนิค และถ้าพิสูจน์ไม่ได้ ความน่าเชื่อถือของคำชี้แจงส่วนอื่นจะถูกกระทบไปด้วย

จุดเสี่ยงจริงอยู่ตรงนี้ องค์กรมักตอบผู้ขอเร็วกว่าที่ตรวจเสร็จจริง เพราะอยากให้เรื่องจบ แล้วค่อยไปไล่ลบทีหลัง ช่องว่างระหว่างคำตอบกับความจริงในช่วงนี้เองที่กลายเป็นปัญหาเมื่อมีการตรวจสอบ

ทางเลือกที่ควรทำต่อคือ เขียนหนังสือตอบให้ตรงกับสิ่งที่ทำจริง เช่น ระบุว่าลบจากระบบใดแล้ว ส่วนใดยังอยู่ในสำเนาสำรองและจะหมดไปเมื่อใด คำตอบที่ตรงความจริงและมีกรอบเวลาชัด มีน้ำหนักกว่าคำตอบที่สวยแต่พิสูจน์ไม่ได้

ลบ ทำลาย หรือทำให้ระบุตัวไม่ได้ เลือกอย่างไร

สามคำนี้ให้ผลต่างกันและเลือกใช้ต่างสถานการณ์

• ลบ — เอาข้อมูลออกจากระบบที่ใช้งาน เหมาะเมื่อไม่มีเหตุต้องเก็บอีกและไม่ต้องใช้ข้อมูลนั้นในทางสถิติ
• ทำลาย — ทำให้กู้คืนไม่ได้ ทั้งไฟล์อิเล็กทรอนิกส์และเอกสารกระดาษ เหมาะกับข้อมูลอ่อนไหวและสื่อบันทึกที่จะเลิกใช้
• ทำให้ระบุตัวบุคคลไม่ได้ — ตัดส่วนที่ระบุตัวออกจนเชื่อมกลับไม่ได้ เหมาะเมื่อองค์กรยังต้องใช้ตัวเลขภาพรวม เช่น สถิติการลาหรืออัตราการลาออก

ทางเลือกที่สามมักถูกลืม ทั้งที่เป็นทางออกที่ลงตัวกว่าในหลายกรณี เพราะตอบโจทย์ผู้ขอได้โดยที่องค์กรไม่เสียข้อมูลเชิงบริหาร ข้อควรระวังคือต้องทำให้เชื่อมกลับไม่ได้จริง การลบเพียงชื่อแต่ยังเหลือรหัสพนักงานหรือชุดข้อมูลที่จับคู่กลับได้ ยังถือว่าเป็นข้อมูลส่วนบุคคลอยู่ วิธีคิดเดียวกันนี้ใช้กับการปกปิดข้อมูลก่อนส่งมอบ ซึ่งอธิบายไว้ที่ปกปิดข้อมูลบุคคลที่สามในไฟล์ที่ส่งมอบ

หลักฐานการทำลายที่ใช้ยันได้

บันทึกการทำลายที่ใช้ได้จริงไม่จำเป็นต้องยาว แต่ต้องมีครบหกช่อง และต้องทำในวันที่ทำลาย ไม่ใช่เขียนย้อนหลังตอนถูกถาม

1. ข้อมูลอะไร ระบุประเภทและขอบเขต เช่น แฟ้มประวัติของพนักงานรายใด ช่วงปีใด
2. จากระบบใดบ้าง ไล่ตามบัญชีระบบที่องค์กรทำไว้ ไม่ใช่ระบุเพียงระบบหลัก
3. ด้วยวิธีใด เช่น ลบและล้างถังขยะ ทำลายเอกสารด้วยเครื่องย่อย หรือทำให้ระบุตัวไม่ได้
4. โดยใคร ระบุชื่อผู้ดำเนินการและผู้ตรวจสอบซ้ำ ซึ่งไม่ควรเป็นคนเดียวกัน
5. เมื่อใด วันและเวลา เพราะจุดนี้คือสิ่งที่จะถูกเทียบกับวันที่เกิดข้อพิพาท
6. เหตุที่ทำลาย เช่น ครบกำหนดตามตารางเก็บเอกสาร หรือดำเนินการตามคำขอของเจ้าของข้อมูล

ช่องที่ 5 และ 6 สำคัญที่สุดในเชิงคดี เพราะเป็นสองช่องที่แสดงว่าการทำลายเกิดขึ้นตามหลักเกณฑ์ที่มีอยู่ก่อน ไม่ใช่เกิดขึ้นเพราะมีเรื่อง หลักการเดียวกับที่ใช้ออกแบบแบบฟอร์มบันทึกเหตุ ซึ่งอธิบายไว้ที่แบบฟอร์มบันทึกเหตุการณ์ที่ใช้ยันได้จริง

ข้อควรระวังที่สำคัญที่สุดคือ ห้ามทำลายในระหว่างที่มีข้อพิพาทค้างอยู่ แม้จะครบกำหนดตามตารางแล้วก็ตาม รายละเอียดของการสั่งระงับอยู่ที่หยุดทำลายข้อมูลเมื่อมีข้อพิพาท

ถ้าเป็นฝ่ายนายจ้างและ HR ต้องเช็กอะไรบ้าง

• มีบัญชีว่าข้อมูลของคนหนึ่งคนอยู่ในระบบใดบ้าง เพราะถ้าไม่มี จะไล่ลบให้ครบไม่ได้
• รู้ว่าสำเนาสำรองเก็บย้อนหลังกี่รอบ และรอบทำลายคือเมื่อใด
• ตั้งค่าล้างถังขยะอัตโนมัติ ไม่ปล่อยให้ค้างไว้ไม่มีกำหนด
• จำกัดสิทธิการส่งออกข้อมูลเป็นไฟล์ตาราง และบันทึกไว้ว่าใครส่งออกอะไร
• มีข้อสัญญากับคู่ค้าเรื่องการทำลายและการส่งคืน พร้อมกำหนดว่าต้องออกหลักฐานให้
• ใช้แบบฟอร์มบันทึกการทำลายมาตรฐานเดียวกันทั้งองค์กร
• กำหนดให้ผู้ตรวจสอบซ้ำไม่ใช่คนเดียวกับผู้ทำลาย
• ตรวจว่าไม่มีข้อพิพาทหรือคำสั่งหยุดทำลายค้างอยู่ก่อนลงมือทุกครั้ง

ปลายทางถ้าตอบว่าลบแล้วทั้งที่ยังอยู่

เมื่อผู้ขอหรือหน่วยงานตรวจพบว่าข้อมูลยังอยู่ ผลที่ตามมาไม่ได้จำกัดอยู่ที่เรื่องการลบเท่านั้น เพราะคำชี้แจงฉบับเดิมขององค์กรถูกตั้งคำถามไปด้วยทั้งฉบับ และในชั้นพิจารณา ความน่าเชื่อถือของเอกสารที่องค์กรจัดทำเองคือสิ่งที่ใช้ต่อสู้เป็นหลัก

ในเชิงบทลงโทษ ประกาศหลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครอง พ.ศ. 2565 ระบุปัจจัยกำหนดโทษไว้ 13 ข้อ ซึ่งรวมถึงมาตรฐานองค์กรในขณะกระทำผิดและการเยียวยาเมื่อทราบเหตุ องค์กรที่พบว่าตอบไปคลาดเคลื่อนแล้วรีบแจ้งแก้ไขพร้อมลบให้ครบ จึงอยู่ในสถานะที่ต่างจากองค์กรที่ปล่อยไว้ ขั้นตอนตั้งแต่ได้รับหนังสือดูที่7 วันแรกหลังได้รับหนังสือร้องเรียน

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

ทีมที่ปรึกษากฎหมาย PDPA ของเราช่วยองค์กรทำบัญชีว่าข้อมูลชุดหนึ่งเดินทางไปที่ใดบ้าง ออกแบบแบบฟอร์มบันทึกการทำลายที่ใช้ยันได้ และร่างข้อสัญญากับคู่ค้าเรื่องการทำลายและการส่งคืนข้อมูล หากต้องการตรวจความพร้อมทั้งระบบ ดูขอบเขตงานที่ตรวจสุขภาพ PDPA และสำหรับข้อมูลฝ่ายบุคคลโดยเฉพาะ ดูที่งานคุ้มครองข้อมูลพนักงานสำหรับ HR

สิ่งที่เรามักชี้ให้เห็นก่อนทีมภายในคือช่องว่างระหว่างสิ่งที่เขียนในหนังสือตอบกับสิ่งที่ทำได้จริงในระบบ เพราะช่องว่างนั้นคือจุดที่เรื่องเล็กกลายเป็นเรื่องใหญ่ได้เร็วที่สุด

สรุป

การลบข้อมูลส่วนบุคคลให้ลบจริงต้องไล่ครบทั้งหกที่ คือถังขยะ สำเนาสำรอง ไฟล์ที่ซิงก์และประวัติเวอร์ชัน กล่องจดหมายและเครื่องผู้รับ รายงานที่ส่งออกไปแล้ว และระบบของคู่ค้า โดยที่ยากที่สุดคือรายงานที่คนดึงออกไปเก็บไว้เอง ซึ่งแก้ได้ด้วยการควบคุมตั้งแต่ต้นทางเท่านั้น และสิ่งที่พิสูจน์การทำลายได้คือบันทึกที่ทำในวันที่ทำลาย ไม่ใช่คำอธิบายย้อนหลัง แนวปฏิบัติทั้งหมดควรตรวจกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และตัวบทจากสำนักงานคณะกรรมการกฤษฎีกา ก่อนนำไปใช้

หากองค์กรของคุณเคยตอบผู้ขอว่าลบแล้วแต่ไม่แน่ใจว่าครบหรือไม่ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 — หน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ซึ่งครอบคลุมการควบคุมการเข้าถึงและการลบข้อมูล (ควรตรวจสอบข้อมูลล่าสุดก่อนอ้างอิง)
• พ.ร.บ. ฉบับเดียวกัน มาตรา 33 — สิทธิขอให้ลบหรือทำลายข้อมูลส่วนบุคคล หรือทำให้เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ (ควรตรวจสอบรายละเอียดกับตัวบทก่อนอ้างอิง)
• ประกาศ กคส. เรื่องหลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครอง พ.ศ. 2565 ข้อ 8 — ปัจจัยกำหนดโทษรวมถึงมาตรฐานองค์กรในขณะกระทำผิด และการเยียวยาเมื่อทราบเหตุ
• ประกาศ กคส. เรื่องหลักเกณฑ์การเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคลฯ พ.ศ. 2569 ข้อ 12 — เก็บบันทึกเกี่ยวกับคำขอไม่น้อยกว่า 2 ปี ซึ่งรวมถึงบันทึกการดำเนินการตามคำขอ

คำถามที่พบบ่อย

ลบจากระบบหลักแล้ว ถือว่าลบตามกฎหมายหรือยัง

ขึ้นกับว่าข้อมูลชุดนั้นยังอยู่ที่อื่นหรือไม่ ถ้ายังอยู่ในสำเนาสำรอง ในไฟล์ที่เคยส่งออก หรือในระบบของคู่ค้า ก็ยังถือว่าองค์กรครอบครองข้อมูลนั้นอยู่ แนวปฏิบัติที่ปลอดภัยคือไล่ตรวจตามบัญชีระบบที่ทำไว้ให้ครบก่อน แล้วจึงแจ้งผลตามความจริง โดยระบุด้วยว่าส่วนใดยังอยู่และจะหมดไปเมื่อใด

สำเนาสำรองต้องลบด้วยไหม

ในทางปฏิบัติมักไม่ลบเป็นรายบุคคล เพราะการเข้าไปแก้สำเนาสำรองเสี่ยงทำให้ชุดสำรองเสียหายทั้งชุด แนวทางที่ใช้กันคือปล่อยให้หมดไปตามรอบทำลายของสำเนาสำรองเอง โดยต้องระบุรอบนั้นให้ชัด ควบคุมไม่ให้มีการนำสำเนามาใช้งานอีก และแจ้งผู้ขอตามความจริง

ทำให้ระบุตัวไม่ได้ ถือว่าลบแล้วหรือไม่

ถ้าทำจนเชื่อมกลับไปหาตัวบุคคลไม่ได้จริง ข้อมูลนั้นจะไม่เป็นข้อมูลส่วนบุคคลอีกต่อไป ซึ่งเป็นทางออกที่เหมาะเมื่อองค์กรยังต้องใช้ตัวเลขภาพรวม ข้อควรระวังคือต้องตรวจว่าไม่มีชุดข้อมูลอื่นที่จับคู่กลับได้ เช่น รหัสพนักงานที่ยังอยู่ในระบบอื่น มิฉะนั้นยังถือว่าระบุตัวได้อยู่

ต้องออกหนังสือยืนยันการลบให้ผู้ขอหรือไม่

ควรแจ้งผลเป็นลายลักษณ์อักษร เพราะเป็นหลักฐานว่าองค์กรดำเนินการแล้วและแจ้งเมื่อใด ข้อควรระวังคือเนื้อหาต้องตรงกับสิ่งที่ทำจริง หากยังมีบางส่วนที่ต้องเก็บไว้ตามกฎหมายอื่นหรือเพราะมีข้อพิพาท ให้ระบุไว้ในหนังสือด้วย ไม่ควรเขียนว่าลบทั้งหมดแล้วหากไม่ตรงความจริง

เอกสารกระดาษต้องทำลายอย่างไร

ต้องทำให้กู้คืนเนื้อหาไม่ได้ ซึ่งการฉีกด้วยมือหรือทิ้งลงถังขยะทั่วไปไม่เพียงพอ โดยเฉพาะเอกสารที่มีข้อมูลอ่อนไหว แนวปฏิบัติที่ใช้ยันได้คือทำลายด้วยเครื่องย่อยเอกสารหรือใช้ผู้ให้บริการที่ออกหลักฐานการทำลายให้ พร้อมบันทึกไว้ว่าทำลายเอกสารชุดใด เมื่อใด และใครเป็นผู้ตรวจสอบซ้ำ

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ