ตรวจสอบตัวตนผู้ขอใช้สิทธิ PDPA อย่างไร ไม่ให้เปิดข้อมูลผิดคน — 15 วันแรกที่ห้ามพลาด ปี 2569

คำถามที่ฝ่ายบุคคลถามบ่อยที่สุดหลังประกาศฉบับใหม่ออกมา ไม่ใช่ว่าต้องให้ข้อมูลอะไรบ้าง แต่คือ "จะรู้ได้อย่างไรว่าคนที่ส่งอีเมลมาคือเจ้าตัวจริง" การตรวจสอบตัวตนผู้ขอใช้สิทธิจึงเป็นขั้นที่ตัดสินทั้งเรื่อง เพราะถ้าตรวจแล้วผิดพลาด ความเสียหายไม่ได้จบที่คำขอฉบับนั้น แต่ลามไปเป็นเหตุละเมิดข้อมูลอีกเรื่องที่ต้องแจ้งหน่วยงานภายในกรอบเวลาเร่งด่วน บทความนี้วางเกณฑ์ที่ใช้ได้จริง พร้อมบอกว่าต้องเก็บอะไรไว้ยันในวันที่ถูกเรียกตรวจ

กฎใหม่ให้เวลาตรวจตัวตนเท่าไร และนาฬิกาเริ่มเดินเมื่อใด

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่องหลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคล พ.ศ. 2569 ซึ่งลงราชกิจจานุเบกษาเมื่อ 16 กรกฎาคม 2569 และมีผลเมื่อพ้นกำหนดหกสิบวันนับแต่วันประกาศ วางกรอบเวลาไว้เป็นสองชั้นซ้อนกัน

ชั้น	สิ่งที่ต้องทำ	กรอบเวลา	ที่มา
ชั้นที่ 1	ตรวจความครบถ้วนของคำขอ และตรวจสอบตัวตนผู้ขอ	ไม่เกิน 15 วัน นับแต่วันที่ได้รับคำขอ	ข้อ 7
ชั้นที่ 1 (ก)	ถ้าไม่ครบ ให้แจ้งแก้ไขหรือส่งเอกสารเพิ่ม	ให้เวลา ไม่น้อยกว่า 10 วัน	ข้อ 7
ชั้นที่ 1 (ข)	เมื่อได้รับเอกสารครบถ้วนแล้ว	ถือว่าได้รับคำขอในวันนั้น นาฬิกาเริ่มใหม่	ข้อ 7
ชั้นที่ 2	ดำเนินการตามคำขอให้แล้วเสร็จ	ไม่เกิน 30 วัน ขยายได้อีกไม่เกิน 30 วันโดยต้องแจ้งเหตุผล	ข้อ 10

จุดที่คนอ่านผ่านแล้วพลาดคือประโยคที่ว่า "ถือว่าได้รับคำขอในวันนั้น" ประโยคเดียวนี้ทำให้การขอเอกสารเพิ่มอย่างมีเหตุผล ไม่ใช่การถ่วงเวลา แต่เป็นการรีเซ็ตนาฬิกาโดยชอบ ในทางกลับกัน ถ้าองค์กรขอเอกสารเพิ่มโดยไม่มีเหตุผลรองรับ พฤติการณ์นั้นจะถูกอ่านว่าเป็นการประวิงเวลา ซึ่งเป็นคนละเรื่องกันโดยสิ้นเชิงในชั้นชี้แจง

รายละเอียดของกรอบเวลาทั้งระบบและสิ่งที่ต้องปรับก่อนวันบังคับใช้ อ่านต่อได้ที่คู่มือกฎใหม่ปี 2569 เรื่องขอเข้าถึงและขอสำเนาข้อมูลส่วนบุคคล และถ้าต้องการผังงานทั้งเจ็ดขั้นว่าใครรับ ใครตรวจ ใครอนุมัติ ดูได้ที่ขั้นตอนรับคำขอใช้สิทธิตั้งแต่ต้นจนจบ

สามสถานการณ์ที่คำตอบไม่เหมือนกัน

คำถามว่า "ต้องขอบัตรประชาชนไหม" ตอบเป็นสูตรเดียวไม่ได้ เพราะความเสี่ยงของแต่ละกรณีต่างกันมาก ต่อไปนี้เป็นกรณีสมมติที่สะท้อนสามระดับที่พบจริง

• กรณีสมมติที่ 1 · พนักงานปัจจุบันยื่นด้วยตนเองที่ฝ่ายบุคคล — ผู้ยื่นมีบัตรพนักงาน ฝ่ายบุคคลรู้จักหน้า และยื่นในสถานที่ทำการ ความเสี่ยงต่ำที่สุด การบันทึกว่าใครรับ วันเวลาใด และตรวจบัตรพนักงานแล้ว เพียงพอในทางปฏิบัติ
• กรณีสมมติที่ 2 · อดีตพนักงานส่งอีเมลจากที่อยู่ที่ไม่เคยแจ้งไว้ — ความเสี่ยงกลาง เพราะยืนยันไม่ได้ว่าอีเมลนั้นเป็นของใคร ควรขอสำเนาบัตรประจำตัวประชาชนที่ปกปิดข้อมูลที่ไม่จำเป็น และเทียบกับข้อมูลที่องค์กรมีอยู่แล้วในแฟ้มประวัติ
• กรณีสมมติที่ 3 · ทนายความหรือญาติยื่นแทน — ความเสี่ยงสูงที่สุด เพราะต้องพิสูจน์สองชั้น คือทั้งตัวตนของเจ้าของข้อมูล และอำนาจของผู้ยื่นแทน จึงควรขอหนังสือมอบอำนาจที่ระบุขอบเขตชัดเจนว่าให้ขอข้อมูลใด พร้อมเอกสารแสดงตนของทั้งสองฝ่าย

หลักคิดที่ใช้ได้กับทั้งสามกรณีคือ ระดับการพิสูจน์ควรแปรผันตามความอ่อนไหวของข้อมูลที่จะส่งมอบและความเสียหายหากส่งผิดคน ไม่ใช่แปรผันตามความรู้สึกว่าผู้ขอน่าไว้ใจหรือไม่ เพราะเกณฑ์แบบแรกอธิบายได้ในชั้นชี้แจง ส่วนเกณฑ์แบบหลังอธิบายไม่ได้

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า ยิ่งขอเอกสารยืนยันตัวตนเยอะ ยิ่งปลอดภัย เพราะถ้าเกิดเรื่องจะได้บอกได้ว่าองค์กรตรวจแล้ว

แต่ในทางคดี กฎหมายและผู้พิจารณามักมองว่า การเรียกเอกสารเกินความจำเป็นคือการเก็บข้อมูลส่วนบุคคลเพิ่มโดยไม่มีฐานรองรับ และเมื่อรวมกับผลที่ทำให้ผู้ขอใช้สิทธิได้ยากขึ้น พฤติการณ์นั้นอาจถูกอ่านว่าเป็นการสร้างอุปสรรคต่อการใช้สิทธิ ไม่ใช่ความรอบคอบ

จุดเสี่ยงจริงอยู่ตรงนี้ องค์กรจำนวนมากไม่มีเกณฑ์ที่เขียนไว้ล่วงหน้า จึงตรวจเข้มกับคนที่กำลังมีข้อพิพาทกับบริษัท และตรวจหลวมกับคนที่ไม่มีเรื่อง ความไม่สม่ำเสมอนี้เองที่กลายเป็นหลักฐานว่าองค์กรเลือกปฏิบัติ

ทางเลือกที่ควรทำต่อคือ เขียนเกณฑ์การพิสูจน์ตัวตนเป็นสามระดับตามความอ่อนไหวของข้อมูล ประกาศใช้ภายใน แล้วบังคับใช้กับทุกคำขอเหมือนกัน ความสม่ำเสมอที่พิสูจน์ได้จากทะเบียนคำขอ มีน้ำหนักกว่าการอธิบายด้วยวาจาว่าตั้งใจดี

ถ้าเป็นฝ่ายนายจ้างและ HR ต้องเช็กอะไรบ้าง

• มีช่องทางรับคำขออย่างน้อยสองช่องทาง คือยื่นที่สถานที่ทำการและทางไปรษณีย์ ตามข้อ 5 ของประกาศ ส่วนช่องทางอิเล็กทรอนิกส์เป็นทางเลือกเพิ่มเติม ไม่ใช่ช่องทางบังคับ
• มีทะเบียนคำขอกลาง ที่บันทึกวันและเวลาที่ได้รับ เพราะวันนั้นคือวันที่นาฬิกาทั้งสองเรือนเริ่มเดิน
• มีเกณฑ์พิสูจน์ตัวตนเป็นลายลักษณ์อักษร แยกตามความอ่อนไหวของข้อมูล ไม่ใช่ตัดสินเป็นราย ๆ
• กำหนดว่าใครมีอำนาจตัดสินว่าผ่านหรือไม่ผ่านการยืนยันตัวตน และคนนั้นต้องลงนามในบันทึก
• มีแบบหนังสือแจ้งขอเอกสารเพิ่มที่ระบุชัดว่าขออะไร เพราะเหตุใด และให้เวลาไม่น้อยกว่า 10 วัน
• ระบุในบันทึกทุกครั้งว่าตรวจอะไรบ้าง ไม่ใช่เขียนเพียงว่า "ยืนยันตัวตนแล้ว"
• มีแนวปฏิบัติว่าสำเนาบัตรที่ได้รับมาจะเก็บนานเท่าใดและทำลายอย่างไร เพราะเอกสารยืนยันตัวตนก็เป็นข้อมูลส่วนบุคคลที่ต้องมีกำหนดเวลาเก็บ
• ซักซ้อมกับผู้รับสายหน้าด่าน ว่าถ้ามีคนโทรมาถามข้อมูลพนักงานทางโทรศัพท์ ห้ามยืนยันหรือปฏิเสธข้อมูลใด ๆ ให้ส่งเข้าช่องทางรับคำขอเท่านั้น

ถ้าส่งข้อมูลให้ผิดคน ปลายทางจะเป็นอย่างไร

นี่คือส่วนที่ต้องเข้าใจให้ชัดที่สุด เพราะการส่งข้อมูลให้ผู้ที่ไม่ใช่เจ้าของข้อมูล ไม่ได้ถูกมองว่าเป็นเพียงความผิดพลาดในการตอบคำขอ แต่เข้านิยาม "การละเมิดข้อมูลส่วนบุคคล" ตามประกาศเรื่องการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ซึ่งครอบคลุมการเปิดเผยข้อมูลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าจะเกิดจากเจตนา จงใจ ประมาทเลินเล่อ ข้อผิดพลาด หรืออุบัติเหตุ

ผลที่ตามมาคือองค์กรเปลี่ยนสถานะทันที จากผู้ที่กำลังตอบคำขอ กลายเป็นผู้ที่ต้องประเมินความเสี่ยงและอาจต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง รวมทั้งอาจต้องแจ้งเจ้าของข้อมูลโดยไม่ชักช้าหากความเสี่ยงสูง กรณีนี้ใกล้เคียงกับการส่งอีเมลผิดคนหรือแนบไฟล์ผิด มาก และควรใช้ขั้นตอนเดียวกับเช็กลิสต์ 6 ชั่วโมงแรกหลังพบเหตุ

ในทางกลับกัน การไม่ปฏิบัติตามคำขอใช้สิทธิเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลตามมาตรา 30 วรรคสี่ อยู่ในกลุ่มความผิดที่มีโทษปรับทางปกครองไม่เกินหนึ่งล้านบาทตามมาตรา 82 องค์กรจึงถูกบีบจากสองด้านพร้อมกัน คือหลวมเกินไปก็เป็นเหตุละเมิด เข้มเกินไปจนไม่ตอบก็เป็นการไม่ปฏิบัติตามคำขอ ทางออกเดียวที่ยืนได้คือเกณฑ์ที่เขียนไว้ล่วงหน้าและใช้อย่างสม่ำเสมอ

หลักฐานที่ต้องเก็บไว้ยันในวันถูกเรียกตรวจ

1. รายการในทะเบียนคำขอ ระบุวันเวลาที่ได้รับ ช่องทาง ผู้รับ และวันครบกำหนดทั้งสองชั้น
2. บันทึกการตรวจสอบตัวตน ระบุว่าใช้เอกสารใด เทียบกับข้อมูลใดในระบบ ใครเป็นผู้ตรวจ และผลเป็นอย่างไร
3. สำเนาหนังสือแจ้งขอเอกสารเพิ่ม พร้อมหลักฐานการส่งและวันที่ได้รับเอกสารครบ ซึ่งเป็นวันที่นาฬิกาเริ่มใหม่
4. หนังสือมอบอำนาจ ในกรณีที่ยื่นแทน พร้อมบันทึกว่าตรวจขอบเขตอำนาจแล้วครอบคลุมคำขอนี้จริง
5. เกณฑ์พิสูจน์ตัวตนฉบับที่ใช้อยู่ ณ วันนั้น พร้อมวันที่ประกาศใช้ เพื่อแสดงว่าเกณฑ์มีอยู่ก่อนเกิดคำขอ ไม่ใช่เขียนขึ้นภายหลัง

เอกสารทั้งห้ารายการนี้ควรเก็บรวมไว้ในแฟ้มเดียวกันต่อหนึ่งคำขอ และเก็บตามระยะเวลาที่ประกาศกำหนด ซึ่งอธิบายไว้แล้วในเรื่องตารางระยะเวลาเก็บเอกสาร HR

ข้อผิดพลาดที่พบบ่อยที่สุด

• เขียนบันทึกว่า "ยืนยันตัวตนแล้ว" ลอย ๆ โดยไม่ระบุว่าตรวจอะไร ซึ่งในชั้นชี้แจงถือว่าไม่มีน้ำหนัก
• ขอเอกสารเพิ่มโดยไม่กำหนดเวลา ทำให้เรื่องค้างและตอบไม่ได้ว่านาฬิกาเดินถึงไหน
• เก็บสำเนาบัตรไว้ตลอดไป ทั้งที่ใช้เพียงเพื่อการยืนยันตัวตนครั้งเดียว
• ตรวจเข้มเป็นพิเศษเฉพาะคนที่มีข้อพิพาทกับบริษัท ซึ่งเป็นพฤติการณ์ที่อธิบายยากที่สุดเมื่อเรื่องไปถึงชั้นพิจารณา
• ยืนยันตัวตนทางโทรศัพท์แล้วส่งไฟล์ตามทันที โดยไม่มีร่องรอยเป็นเอกสาร

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

ทีมที่ปรึกษากฎหมาย PDPA ของเราช่วยองค์กรวางเกณฑ์การพิสูจน์ตัวตนที่สมดุลระหว่างความปลอดภัยกับสิทธิของเจ้าของข้อมูล ออกแบบแบบฟอร์มและทะเบียนคำขอที่บันทึกครบตามที่ประกาศกำหนด และซักซ้อมทีมหน้าด่านให้รู้ว่าอะไรตอบได้และอะไรต้องส่งเข้ากระบวนการ หากต้องการตรวจความพร้อมทั้งระบบก่อนวันบังคับใช้ ดูขอบเขตงานได้ที่บริการตรวจสุขภาพ PDPA และสำหรับองค์กรที่ปัญหากระจุกอยู่ที่ข้อมูลพนักงาน ดูที่งานคุ้มครองข้อมูลพนักงานสำหรับ HR

สิ่งที่เราให้ความสำคัญเป็นพิเศษคือการจัดระบบเอกสารและพยานหลักฐานตั้งแต่ต้น เพราะคดีจำนวนมากไม่ได้แพ้เพราะองค์กรทำผิด แต่แพ้เพราะพิสูจน์ไม่ได้ว่าทำถูก และเรามักชี้จุดเสี่ยงที่ทีมภายในมองข้าม เช่น เกณฑ์ที่มีอยู่แต่ไม่เคยประกาศใช้ ซึ่งใช้ยันไม่ได้เมื่อถึงเวลาจริง

สรุป

การตรวจสอบตัวตนผู้ขอใช้สิทธิตามกฎใหม่ปี 2569 มีกรอบเวลาชัดเจนคือ 15 วันสำหรับการตรวจคำขอและยืนยันตัวตน ไม่น้อยกว่า 10 วันสำหรับให้ผู้ขอแก้ไข และเมื่อเอกสารครบ ให้ถือว่าได้รับคำขอในวันนั้น สิ่งที่ต้องระวังที่สุดคือความไม่สม่ำเสมอ เพราะเกณฑ์ที่ต่างกันในแต่ละคำขอคือหลักฐานที่อธิบายยากที่สุด ตัวเลขและเงื่อนไขทั้งหมดควรตรวจสอบกับตัวประกาศฉบับเต็มในราชกิจจานุเบกษา และแนวปฏิบัติล่าสุดของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ก่อนนำไปใช้ทุกครั้ง

หากองค์กรของคุณกำลังเจอคำขอที่ตัดสินใจยาก หรือยังไม่มีเกณฑ์ที่ใช้ยันได้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• ประกาศ กคส. เรื่องหลักเกณฑ์การเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคลฯ พ.ศ. 2569 ข้อ 7 — ตรวจคำขอและยืนยันตัวตนไม่เกิน 15 วัน · ให้เวลาแก้ไขไม่น้อยกว่า 10 วัน · ได้เอกสารครบแล้วถือว่าได้รับคำขอวันนั้น
• ประกาศฉบับเดียวกัน ข้อ 5 — ต้องมีช่องทางรับคำขออย่างน้อยที่สถานที่ทำการและทางไปรษณีย์ ช่องทางอิเล็กทรอนิกส์เป็นทางเลือกเพิ่มเติม
• ประกาศฉบับเดียวกัน ข้อ 10 — ดำเนินการตามคำขอไม่เกิน 30 วัน ขยายได้อีกไม่เกิน 30 วันโดยต้องแจ้งเหตุผล
• ประกาศ กคส. เรื่องการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — การเปิดเผยข้อมูลโดยปราศจากอำนาจหรือโดยมิชอบ รวมถึงที่เกิดจากความผิดพลาด เข้านิยามการละเมิดข้อมูลส่วนบุคคล
• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 82 — ไม่ปฏิบัติตามมาตรา 30 วรรคสี่ มีโทษปรับทางปกครองไม่เกินหนึ่งล้านบาท (ควรตรวจสอบข้อมูลล่าสุดก่อนอ้างอิง)

คำถามที่พบบ่อย

ต้องขอสำเนาบัตรประชาชนทุกครั้งหรือไม่

ไม่จำเป็นเสมอไป ประกาศไม่ได้กำหนดว่าต้องใช้เอกสารชนิดใด แต่กำหนดให้ผู้ควบคุมข้อมูลตรวจสอบตัวตนให้เสร็จภายใน 15 วัน แนวปฏิบัติที่อธิบายได้คือกำหนดระดับการพิสูจน์ตามความอ่อนไหวของข้อมูลที่จะส่งมอบ กรณีพนักงานปัจจุบันยื่นด้วยตนเองที่สำนักงานพร้อมบัตรพนักงาน มักไม่จำเป็นต้องขอเอกสารเพิ่ม แต่กรณีที่ยื่นทางอีเมลจากที่อยู่ที่ไม่เคยแจ้งไว้ ควรมีการพิสูจน์เพิ่ม

ถ้าผู้ขอไม่ส่งเอกสารเพิ่มตามที่แจ้ง จะทำอย่างไร

ประกาศกำหนดว่าเมื่อพ้นกำหนดเวลาที่ให้แก้ไข ซึ่งต้องไม่น้อยกว่า 10 วัน แล้วผู้ขอไม่ดำเนินการ ให้ถือว่าละทิ้งคำขอ แต่ไม่ตัดสิทธิที่จะยื่นคำขอใหม่ องค์กรจึงควรบันทึกไว้ให้ชัดว่าแจ้งเมื่อใด ให้เวลาถึงวันใด และไม่ได้รับการตอบกลับ เพื่อใช้อธิบายได้หากมีการร้องเรียนภายหลัง

ทนายความของอดีตพนักงานขอข้อมูลแทน ต้องให้หรือไม่

ให้ได้เมื่อพิสูจน์ได้ทั้งตัวตนของเจ้าของข้อมูลและขอบเขตอำนาจของผู้ยื่นแทน โดยควรขอหนังสือมอบอำนาจที่ระบุชัดว่าให้ขอข้อมูลรายการใด พร้อมเอกสารแสดงตนของทั้งสองฝ่าย ข้อควรระวังคือถ้าหนังสือมอบอำนาจระบุขอบเขตกว้างกว่าที่ยื่นขอจริง ควรตอบเฉพาะส่วนที่อยู่ในขอบเขตและบันทึกเหตุผลไว้

ยืนยันตัวตนทางโทรศัพท์ได้หรือไม่

ในทางปฏิบัติไม่แนะนำให้ใช้เป็นวิธีเดียว เพราะไม่เหลือร่องรอยที่ตรวจสอบย้อนหลังได้ และเสี่ยงต่อการถูกสวมรอย หากจำเป็นต้องใช้โทรศัพท์เป็นขั้นตอนหนึ่ง ควรจดบันทึกทันทีว่าโทรหมายเลขใด เมื่อใด ถามคำถามยืนยันข้อใดบ้าง และผู้รับสายตอบอย่างไร แล้วให้ยืนยันซ้ำผ่านช่องทางที่เป็นลายลักษณ์อักษรก่อนส่งมอบข้อมูล

ถ้าส่งข้อมูลให้ผิดคนไปแล้ว ต้องทำอย่างไร

ให้ถือว่าเป็นเหตุละเมิดข้อมูลส่วนบุคคลและเข้าสู่กระบวนการรับมือทันที คือประเมินความเสี่ยง ระงับความเสียหายเท่าที่ทำได้ เช่น ขอให้ผู้รับลบไฟล์และยืนยันเป็นลายลักษณ์อักษร แล้วประเมินว่าต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงหรือไม่ และต้องแจ้งเจ้าของข้อมูลหรือไม่ พร้อมบันทึกเหตุผลของการตัดสินใจไว้ทุกขั้น

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ