คำขอใช้สิทธิตาม PDPA: กำหนด 15+30 วัน ค่าธรรมเนียม และบันทึก

1) คัดแยกคำขอตามมาตรา: แต่ละสิทธิมีกำหนดเวลาและเหตุปฏิเสธของตนเอง

จดหมายหรืออีเมลฉบับเดียวมักรวมหลายเรื่อง เช่น ขอสำเนาประวัติการซื้อ ขอให้เลิกส่งโปรโมชัน และขอให้ลบบัญชี ควรเปิดรายการแยกตามมาตราตั้งแต่วันแรก เพราะประกาศปี 2569 ใช้กับสิทธิตามมาตรา 30 เท่านั้น ส่วนสิทธิอื่นยังอยู่ภายใต้เงื่อนไขในตัวบทแต่ละมาตรา

• •มาตรา 30: ขอเข้าถึงและขอรับสำเนา หรือขอให้เปิดเผยการได้มาซึ่งข้อมูลที่ตนไม่ได้ให้ความยินยอม — ใช้กำหนด 15 และ 30 วันตามประกาศปี 2569
• •มาตรา 19 วรรคห้าและวรรคหก: ถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ เว้นแต่มีข้อจำกัดตามกฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูล และต้องแจ้งผลกระทบจากการถอน
• •มาตรา 31: ขอรับหรือให้โอนข้อมูลในรูปแบบที่อ่านด้วยเครื่องได้ ใช้เฉพาะข้อมูลที่ให้ความยินยอมหรือประมวลผลเพื่อสัญญาตามมาตรา 24(3) และไม่ใช้กับการปฏิบัติหน้าที่เพื่อประโยชน์สาธารณะหรือตามกฎหมาย
• •มาตรา 32: คัดค้านได้เมื่อใดก็ได้ ในกรณีประโยชน์โดยชอบหรือภารกิจรัฐตามมาตรา 24(4) หรือ (5) การตลาดแบบตรง และการวิจัยหรือสถิติ
• •มาตรา 33: ขอลบ ทำลาย หรือทำให้ระบุตัวไม่ได้ใน 4 กรณี เช่น หมดความจำเป็น ถอนความยินยอมแล้วไม่มีฐานอื่น หรือคัดค้านการตลาดแบบตรง
• •มาตรา 34–36: ขอระงับการใช้ระหว่างตรวจสอบ และขอแก้ไขข้อมูลให้ถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด

• PDPA มาตรา 30 สิทธิขอเข้าถึงและขอรับสำเนา (SiData+)
• PDPA มาตรา 32 สิทธิคัดค้าน (SiData+)
• PDPA มาตรา 33 สิทธิขอลบหรือทำลาย (SiData+)

2) ช่องทางรับคำขอและสิ่งที่คำขอต้องมีตามประกาศปี 2569

ข้อ 5 ของประกาศบังคับให้มีช่องทางอย่างน้อย 2 ช่องทาง คือยื่นโดยตรง ณ สถานที่ทำการหรือสถานที่ติดต่อที่แจ้งไว้ในประกาศความเป็นส่วนตัวตามมาตรา 23 และยื่นทางไปรษณีย์ไปยังสถานที่เดียวกัน แบบฟอร์มเว็บ อีเมล หรือแอปเป็นช่องทางเพิ่มเติมที่จัดได้ แต่ใช้แทน 2 ช่องทางแรกไม่ได้ เจ้าของข้อมูลจะยื่นเองหรือมอบอำนาจให้ผู้อื่นยื่นแทนก็ได้ และนิยามในข้อ 3 รวมผู้ใช้อำนาจปกครอง ผู้อนุบาล และผู้พิทักษ์ที่ทำแทนผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถด้วย

ข้อ 6 กำหนดให้คำขอทำเป็นหนังสือหรือรูปแบบอิเล็กทรอนิกส์ และมีอย่างน้อย ชื่อและนามสกุลของเจ้าของข้อมูล ช่องทางที่ต้องการรับข้อมูล เว้นแต่ผู้ควบคุมทราบโดยปริยายหรือกำหนดไว้แล้ว รายละเอียดของสิ่งที่ขอ และลายมือชื่อหรือลายมือชื่ออิเล็กทรอนิกส์ ผู้ควบคุมขอข้อมูลเพิ่มได้เท่าที่จำเป็นเพื่อระบุตัวและติดต่อ เช่น หมายเลขลูกค้าหรือรหัสพนักงาน ที่อยู่ปัจจุบัน หมายเลขโทรศัพท์ หรืออีเมล

ข้อ 4 ระบุสิ่งที่ต้องเตรียมให้เข้าถึงได้ คือข้อมูลที่เก็บจากเจ้าของโดยตรง ข้อมูลที่ได้มาจากแหล่งอื่น และแหล่งที่มาของข้อมูลจากแหล่งอื่นที่เจ้าของไม่ได้ให้ความยินยอมเท่าที่ทำได้ รวมถึงรายละเอียดที่ต้องแจ้งตามมาตรา 23 และรายการตามมาตรา 39 ที่เจ้าของขอดูได้ คำตอบที่ส่งเพียงสกรีนช็อตหน้าบัญชีลูกค้าจึงมักไม่ครบ

• ราชกิจจานุเบกษา — ประกาศ กคส. หลักเกณฑ์การเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคล พ.ศ. 2569

3) ยืนยันตัวตนตามช่องทาง และนาฬิกา 15 วันกับ 30 วัน

การยืนยันตัวตนตามข้อ 6 แยกตามช่องทาง ยื่นที่สำนักงานให้แสดงบัตรประชาชน หนังสือเดินทาง หรือเอกสารที่ทางราชการออกให้ ยื่นทางไปรษณีย์ให้แนบสำเนาที่รับรองสำเนาถูกต้อง ส่วนช่องทางอิเล็กทรอนิกส์ ผู้ควบคุมอาจใช้วิธีอื่นแทนเอกสารได้ เช่น ยืนยันผ่านบัญชีที่ล็อกอินแล้วหรือรหัสผ่านครั้งเดียว แต่ต้องไม่สร้างอุปสรรคเกินสมควร กรณีมอบอำนาจ ต้องมีหนังสือมอบอำนาจที่ระบุเรื่องที่มอบ ติดอากรแสตมป์ครบ ลงชื่อทั้งสองฝ่าย และแนบเอกสารแสดงตนของทั้งผู้มอบและผู้รับมอบ

ข้อ 7 ให้ตรวจคำขอ เอกสาร และตัวตนของผู้ยื่นให้เสร็จโดยไม่ชักช้า แต่ไม่เกิน 15 วันนับแต่วันที่ได้รับคำขอ ถ้าไม่ครบหรือยืนยันตัวตนไม่ได้ ต้องแจ้งเป็นหนังสือหรือทางอิเล็กทรอนิกส์ให้แก้ไขภายในเวลาที่กำหนดซึ่งไม่น้อยกว่า 10 วัน และให้ถือว่าได้รับคำขอในวันที่ได้รับฉบับที่แก้ครบแล้ว ถ้าผู้ขอไม่แก้ภายในกำหนด ถือว่าละทิ้งคำขอ ผู้ควบคุมต้องแจ้งให้ทราบ และผู้ขอยื่นใหม่ได้

ข้อ 10 ซ้ำกับมาตรา 30 วรรคสี่ คือต้องดำเนินการตามคำขอโดยไม่ชักช้า แต่ไม่เกิน 30 วันนับแต่วันที่ได้รับคำขอ ระยะ 15 วันจึงอยู่ภายใน 30 วัน ไม่ได้ต่อท้าย ถ้าข้อมูลมีปริมาณมากหรือมีเหตุจำเป็นอื่น ขยายได้อีกไม่เกิน 30 วันนับจากวันครบกำหนดเดิม โดยต้องแจ้งเหตุผลและรายละเอียดให้ผู้ขอทราบ การขยายจึงควรแจ้งก่อนครบ 30 วันและมีหลักฐานว่าเหตุจำเป็นคืออะไร

ตัวอย่าง ก: ลูกค้าส่งคำขอทางอีเมลที่ประกาศไว้ ได้รับวันที่ 5 ต.ค. 2569 ทีมต้องยืนยันตัวตนให้เสร็จภายใน 20 ต.ค. 2569 และส่งมอบภายใน 4 พ.ย. 2569 ถ้าลูกค้าขอประวัติแชตย้อนหลังหลายปีที่ต้องดึงจากระบบเก่า บริษัทแจ้งขยายพร้อมเหตุผลได้ แต่ต้องส่งมอบไม่ช้ากว่า 4 ธ.ค. 2569

ตัวอย่าง ข: คำขอทางไปรษณีย์มาถึงวันที่ 1 ธ.ค. 2569 โดยไม่มีสำเนาบัตรที่รับรองถูกต้อง วันที่ 8 ธ.ค. บริษัทแจ้งให้ส่งเพิ่มภายใน 10 วัน คือภายใน 18 ธ.ค. เอกสารครบมาถึงวันที่ 15 ธ.ค. จึงถือว่าได้รับคำขอวันที่ 15 ธ.ค. และกำหนดส่งมอบ 30 วันครบวันที่ 14 ม.ค. 2570 ถ้าไม่มีเอกสารมาภายใน 18 ธ.ค. บริษัทแจ้งว่าคำขอถูกละทิ้ง และบันทึกการแจ้งนั้นไว้

4) เหตุปฏิเสธ คำขอที่สร้างภาระเกินสมควร และหน้าที่ปกปิดแทนการปฏิเสธทั้งฉบับ

มาตรา 30 วรรคสองใช้คำว่าปฏิเสธได้เฉพาะเมื่อเป็นการปฏิเสธตามกฎหมายหรือคำสั่งศาล “และ” การเข้าถึงจะกระทบสิทธิและเสรีภาพของผู้อื่น ข้อ 8 ของประกาศเขียนชัดขึ้นว่าปฏิเสธได้ในกรณีใดกรณีหนึ่ง และขยายความว่าความเสียหายต่อผู้อื่นรวมถึงข้อมูลส่วนบุคคลของบุคคลอื่น ความลับของทางราชการ ความลับทางการค้า ลิขสิทธิ์ และทรัพย์สินทางปัญญาของผู้อื่น นอกจากนี้ยังปฏิเสธได้เมื่อคำขอไม่เป็นสาระสำคัญอย่างชัดเจน หรือเพิ่มภาระโดยไม่มีเหตุผลอันสมควร

เหตุเรื่องผู้อื่นไม่ใช่ใบอนุญาตให้ปิดทั้งแฟ้ม ข้อ 8 วรรคสามกำหนดให้ดำเนินการเท่าที่ทำได้ โดยลบ ตัดทอน หรือปิดเฉพาะส่วนที่กระทบผู้อื่น แล้วส่งมอบส่วนที่เหลือ ประกาศไม่ได้กำหนดว่าการที่ผู้ขอจะนำข้อมูลไปใช้ในข้อพิพาทเป็นเหตุปฏิเสธ คำขอจากอดีตพนักงานที่กำลังฟ้องบริษัทจึงต้องพิจารณาตามเหตุในข้อ 8 เหมือนคำขออื่น

เมื่อปฏิเสธทั้งหมดหรือบางส่วน ต้องแจ้งผู้ขอพร้อมเหตุผล และบันทึกการปฏิเสธพร้อมเหตุผลไว้ในรายการตามมาตรา 39(7) แม้กิจการขนาดเล็กที่ได้รับยกเว้นการบันทึกรายการบางข้อ เพราะมาตรา 39 วรรคสามยกเว้นได้เฉพาะ (1)–(6) และ (8) ไม่รวมบันทึกการปฏิเสธคำขอ

ตัวอย่าง ค: อดีตพนักงานขอสำเนาอีเมลทุกฉบับที่กล่าวถึงตนในรอบ 3 ปี ระบบค้นพบ 1,800 ฉบับ บริษัทไม่ควรปฏิเสธทั้งหมดเพียงเพราะมีจำนวนมาก แนวทางที่สอดคล้องกับประกาศคือส่งรายการข้อมูลและสำเนาส่วนที่เกี่ยวกับผู้ขอ ปิดชื่อและความเห็นส่วนตัวของพนักงานอื่น ปิดราคาทุนหรือสูตรที่เป็นความลับทางการค้า และถ้าต้องใช้เวลาตรวจเกิน 30 วัน ให้แจ้งขยายพร้อมเหตุผลก่อนครบกำหนด

5) รูปแบบการส่งมอบและค่าธรรมเนียมตามบัญชีท้ายประกาศ

ข้อ 9 ให้ส่งมอบได้ 3 วิธี คือให้เข้าตรวจดู ทำสำเนาเอกสารแล้วมอบหรือส่ง หรือให้ในรูปแบบอิเล็กทรอนิกส์หรือรูปแบบอื่นที่ผู้ขอร้องขอและผู้ควบคุมทำได้ ถ้าคำขอเข้ามาทางช่องทางอิเล็กทรอนิกส์และผู้ขอไม่ได้ระบุรูปแบบอื่น ต้องส่งในรูปแบบอิเล็กทรอนิกส์หากโดยสภาพทำได้ ไฟล์ที่ส่งควรเข้ารหัสและส่งรหัสผ่านทางอีกช่องทางหนึ่ง

ข้อ 11 ห้ามเก็บค่าธรรมเนียมเมื่อส่งทางอิเล็กทรอนิกส์โดยไม่ต้องทำสื่อบันทึกเฉพาะและไม่มีค่าขนส่งโดยตรง กรณีอื่นเก็บได้ในอัตราที่สมเหตุสมผลและไม่เกินต้นทุนจริง และไม่เกินบัญชีท้ายประกาศ เช่น สำเนาถ่ายเอกสาร A4 หน้าละไม่เกิน 1 บาท สำเนาจากเครื่องพิมพ์คอมพิวเตอร์ A4 ขาวดำหน้าละไม่เกิน 3 บาท และคำรับรองความถูกต้องคำรับรองละไม่เกิน 5 บาท คำขอซ้ำจำนวนมาก ข้อมูลปริมาณมาก หรือภาระสูงกว่าปกติ เก็บได้ตามสมควรโดยคำนึงถึงต้นทุน ผู้มีรายได้น้อยอาจได้รับการยกเว้นหรือลด และต้องแจ้งอัตรากับรายละเอียดก่อนหรือขณะใช้สิทธิ

ข้อ 13 ระบุว่าถ้ากฎหมายอื่นกำหนดวิธีขอเข้าถึงไว้ เช่น กฎหมายเฉพาะของสถานพยาบาลหรือหน่วยงานรัฐ ให้ทำตามกฎหมายนั้นแต่ต้องสอดคล้องกับประกาศนี้ ส่วนค่าธรรมเนียมใช้หลักในข้อ 11 เท่าที่ไม่ขัดกับกฎหมายนั้น

ตัวอย่าง ง: พนักงานขอสำเนาแฟ้มประวัติ 120 หน้า ถ้าบริษัทส่ง PDF ทางอีเมลที่พนักงานใช้ยื่นคำขอ เก็บค่าธรรมเนียมไม่ได้ ถ้าพนักงานขอฉบับกระดาษถ่ายเอกสาร A4 เพดานคือ 120 × 1 = 120 บาท ถ้าพิมพ์จากคอมพิวเตอร์ขาวดำ เพดานคือ 120 × 3 = 360 บาท ค่าส่งไปรษณีย์จริงคิดแยกได้ตามต้นทุน และบริษัทต้องแจ้งตัวเลขเหล่านี้ก่อนเริ่มทำสำเนา

6) คัดค้าน ลบ ถอนความยินยอม และแก้ไข: กำหนดที่ไม่ได้อยู่ในประกาศปี 2569

การคัดค้านตามมาตรา 32 มีผลทันที วรรคสองกำหนดว่าเมื่อคัดค้านแล้ว ผู้ควบคุมใช้ข้อมูลนั้นต่อไม่ได้ และต้องแยกข้อมูลออกจากข้อมูลอื่นให้ชัดเจนทันทีเมื่อได้รับแจ้ง กรณีการตลาดแบบตรงไม่มีข้อยกเว้นให้ปฏิเสธ ส่วนกรณีประโยชน์โดยชอบหรือภารกิจรัฐ ผู้ควบคุมปฏิเสธได้เมื่อพิสูจน์เหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า หรือความจำเป็นเพื่อสิทธิเรียกร้องตามกฎหมาย และต้องบันทึกเหตุผล การฝ่าฝืนมาตรา 32 วรรคสองมีโทษปรับทางปกครองไม่เกิน 3 ล้านบาทตามมาตรา 83

การลบตามมาตรา 33 ไม่ใช้กับข้อมูลที่เก็บไว้เพื่อเสรีภาพในการแสดงความคิดเห็น เพื่อจดหมายเหตุ วิจัยหรือสถิติ เพื่อภารกิจรัฐ เพื่อเวชศาสตร์ป้องกัน อาชีวเวชศาสตร์ การบริการสุขภาพ หรือประโยชน์สาธารณะด้านการสาธารณสุขตามมาตรา 26(5)(ก) หรือ (ข) เพื่อก่อตั้ง ใช้ หรือต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อปฏิบัติตามกฎหมาย ถ้าผู้ควบคุมเคยเผยแพร่ข้อมูลนั้นต่อสาธารณะ ต้องรับผิดชอบทั้งวิธีการและค่าใช้จ่ายในการแจ้งผู้ควบคุมรายอื่นให้ลบด้วย การถอนความยินยอมตามมาตรา 19 ต้องทำได้ง่ายเช่นเดียวกับการให้ และการไม่แจ้งผลกระทบจากการถอนมีโทษปรับไม่เกิน 1 ล้านบาทตามมาตรา 82

สิทธิเหล่านี้ไม่มีกำหนดวันตายตัวแบบมาตรา 30 แต่เจ้าของข้อมูลร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญได้เมื่อผู้ควบคุมไม่ดำเนินการตามมาตรา 33 หรือ 34 แนวทางที่ตรวจสอบได้คือใช้ขั้นตอนรับคำขอและยืนยันตัวตนชุดเดียวกับมาตรา 30 แล้วกำหนดเป้าหมายภายในให้เสร็จไม่เกิน 30 วัน ยกเว้นการคัดค้านการตลาดแบบตรงที่ต้องหยุดทันที

ตัวอย่าง จ: ลูกค้าตอบกลับ SMS ว่า “เลิกส่งโฆษณา และลบเบอร์ผม” ในวันที่ 3 พ.ย. 2569 บริษัทต้องตัดเบอร์ออกจากรายชื่อการตลาดทุกระบบในวันนั้น รวมถึงรายชื่อที่ส่งให้เอเจนซีภายนอก การคัดค้านการตลาดแบบตรงยังเป็นเหตุลบตามมาตรา 33(3) แต่ถ้าลูกค้ายังมีสัญญาผ่อนชำระอยู่ บริษัทเก็บเบอร์ไว้ติดต่อเรื่องสัญญาได้ตามฐานสัญญาและสิทธิเรียกร้อง และต้องอธิบายส่วนที่เก็บไว้ในคำตอบ

• PDPA มาตรา 83 โทษปรับไม่เกิน 3 ล้านบาท (SiData+)

7) ผู้ประมวลผล บันทึก 2 ปี โทษ และรายการตรวจระบบรับคำขอ

ผู้ควบคุมยังรับผิดชอบคำขอแม้ข้อมูลอยู่กับผู้ประมวลผลภายนอก มาตรา 40 ให้ผู้ประมวลผลทำตามคำสั่งของผู้ควบคุม สัญญาประมวลผลจึงควรกำหนดให้ส่งข้อมูลหรือดำเนินการลบภายในจำนวนวันที่สั้นกว่ากำหนดของผู้ควบคุม เช่น 7 วันทำการ และให้แจ้งทันทีเมื่อเจ้าของข้อมูลยื่นคำขอไปที่ผู้ประมวลผลโดยตรง

ข้อ 12 ของประกาศให้บันทึกรายละเอียดคำขอ เอกสารที่ได้รับ และการดำเนินการหรือการปฏิเสธไว้ไม่น้อยกว่า 2 ปี จะเก็บในรูปแบบอิเล็กทรอนิกส์ก็ได้ บันทึกนี้แยกจากรายการตามมาตรา 39 ซึ่งมาตรา 82 กำหนดโทษปรับไม่เกิน 1 ล้านบาทเมื่อไม่จัดทำตามวรรคหนึ่ง เช่นเดียวกับการไม่ดำเนินการภายใน 30 วันตามมาตรา 30 วรรคสี่ นอกจากโทษทางปกครอง มาตรา 77 ยังให้เจ้าของข้อมูลเรียกค่าสินไหมทดแทนได้ถ้าการฝ่าฝืนทำให้เกิดความเสียหาย เว้นแต่ผู้ควบคุมพิสูจน์เหตุยกเว้นได้

ตัวอย่าง ฉ: คำขอได้รับวันที่ 10 ต.ค. 2569 และปิดเรื่องวันที่ 2 พ.ย. 2569 บริษัทต้องเก็บแฟ้มคำขอ เอกสารยืนยันตัวตน สำเนาคำตอบ และเหตุผลของส่วนที่ปกปิดไว้อย่างน้อยถึงวันที่ 2 พ.ย. 2571 แต่ไม่ควรเก็บสำเนาบัตรประชาชนนานกว่าที่จำเป็นต่อการพิสูจน์ จึงควรระบุระยะเก็บของแฟ้มนี้ในนโยบายเก็บรักษาโดยตรง

• •มีช่องทางยื่นที่สำนักงานและทางไปรษณีย์ และระบุไว้ในประกาศความเป็นส่วนตัว
• •พนักงานหน้าร้าน คอลเซ็นเตอร์ และผู้ดูแลโซเชียลส่งต่อคำขอภายในวันที่ได้รับ
• •แบบฟอร์มขอเฉพาะข้อมูลตามข้อ 6 และวิธียืนยันตัวตนแยกตามช่องทาง
• •ปฏิทินที่คำนวณวันครบ 15 วัน 30 วัน และวันครบเมื่อขยาย
• •แผนที่ระบบจาก ROPA รวมอีเมล ไฟล์แชร์ CRM ระบบเงินเดือน และผู้ประมวลผล
• •แนวทางปกปิดข้อมูลผู้อื่นและความลับทางการค้า พร้อมผู้อนุมัติ
• •อัตราค่าธรรมเนียมไม่เกินบัญชีท้ายประกาศ และข้อความแจ้งก่อนเก็บ
• •บันทึกคำขอและผลการดำเนินการไม่น้อยกว่า 2 ปี และบันทึกการปฏิเสธในรายการตามมาตรา 39

• PDPA มาตรา 39 บันทึกรายการ (SiData+)
• PDPA มาตรา 82 โทษปรับไม่เกิน 1 ล้านบาท (SiData+)
• ราชกิจจานุเบกษา — พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เล่ม 136 ตอนที่ 69 ก (ตัวบทฉบับประกาศ)