BLOG
เมื่อลูกค้าขอข้อมูลส่วนตัวของตัวเอง คุณหาให้ครบภายใน 30 วันได้หรือไม่?
ลองนึกภาพว่ามีจดหมายส่งมาถึงออฟฟิศของคุณ อาจเป็นจากอดีตลูกค้า หรืออดีตพนักงาน ที่ต้องการสำเนาข้อมูลส่วนบุคคลทั้งหมดที่ธุรกิจของคุณเก็บไว้เกี่ยวกับเขา และต้องการรู้ด้วยว่าข้อมูลใดที่เขาไม่ได้ให้คุณโดยตรงนั้น คุณได้มาจากที่ไหน
ตั้งแต่วันที่ 14 กันยายน 2026 เป็นต้นมา วิธีที่ธุรกิจต้องจัดการกับคำขอประเภทนี้ไม่ได้ขึ้นอยู่กับดุลยพินิจของคุณอีกต่อไป
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือ PDPC ได้กำหนดรายละเอียดไว้อย่างชัดเจนแล้วว่า ธุรกิจในประเทศไทยต้องดำเนินการอย่างไร ต้องทำภายในระยะเวลาเท่าไร และมีขั้นตอนอะไรบ้าง
บทความนี้จะอธิบายกฎใหม่ให้เข้าใจง่าย และชี้ให้เห็นว่า สำหรับ SME ส่วนใหญ่ สิ่งที่ยากที่สุดอาจไม่ใช่งานเอกสารด้านกฎหมาย แต่คือ การค้นหาให้เจอว่าข้อมูลนั้นอยู่ที่ไหนบ้าง
บทความนี้จัดทำขึ้นเพื่อให้ข้อมูลทั่วไปเท่านั้น ไม่ใช่คำแนะนำทางกฎหมาย หากคุณไม่แน่ใจว่ากฎเหล่านี้มีผลกับธุรกิจของคุณอย่างไร ควรปรึกษาทนายความไทยที่มีความเชี่ยวชาญด้านการคุ้มครองข้อมูลส่วนบุคคล
มีอะไรเปลี่ยนไปบ้าง
สิทธิของบุคคลในการเข้าถึงข้อมูลส่วนบุคคลของตนเองเป็นส่วนหนึ่งของกฎหมายคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย หรือ PDPA มาตั้งแต่กฎหมายมีผลบังคับใช้
สิ่งที่ยังขาดอยู่ก่อนหน้านี้ คือรายละเอียดว่าธุรกิจควรจัดการกับคำขอเหล่านี้อย่างไรในทางปฏิบัติ
เมื่อวันที่ 16 กรกฎาคม 2026 PDPC ได้ประกาศหลักเกณฑ์เกี่ยวกับคำขอเข้าถึงข้อมูลในราชกิจจานุเบกษา และกฎดังกล่าวมีผลใช้บังคับ 60 วันต่อมา คือวันที่ 14 กันยายน 2026 (Baker McKenzie, 10 สิงหาคม 2026)
โดยสรุป หลักเกณฑ์สำคัญมีดังนี้
ใครสามารถยื่นคำขอได้
เจ้าของข้อมูลส่วนบุคคลเอง หรือบุคคลที่ดำเนินการแทน เช่น ผู้ปกครองของผู้เยาว์ ผู้อนุบาล ผู้พิทักษ์ หรือผู้รับมอบอำนาจ
สามารถขอข้อมูลอะไรได้บ้าง
เจ้าของข้อมูลสามารถขอสำเนาข้อมูลส่วนบุคคลที่ธุรกิจเก็บรวบรวมจากเขาโดยตรง รวมถึงข้อมูลที่เก็บมาจากแหล่งอื่น
ยังสามารถขอทราบแหล่งที่มาของข้อมูลที่คุณเก็บรวบรวมโดยไม่ได้รับความยินยอม และข้อมูลต่าง ๆ ที่ระบุไว้ใน Privacy Notice และ Record of Processing Activities หรือ ROPA
สามารถยื่นคำขอได้อย่างไร
ธุรกิจต้องจัดให้มีช่องทางอย่างน้อยสำหรับการยื่นคำขอด้วยตนเองและทางไปรษณีย์
นอกจากนี้ ยังแนะนำให้มีช่องทางอิเล็กทรอนิกส์ เช่น อีเมลหรือแบบฟอร์มบนเว็บไซต์ด้วย
การตรวจสอบตัวตน
ธุรกิจต้องตรวจสอบความถูกต้องของคำขอและยืนยันตัวตนของผู้ยื่นคำขอภายในระยะเวลาที่กำหนด
หากคำขอไม่ครบถ้วน ต้องแจ้งให้ผู้ยื่นคำขอทราบและให้เวลาในการแก้ไขหรือส่งข้อมูลเพิ่มเติม
ระยะเวลาในการดำเนินการ
คุณต้องดำเนินการให้เสร็จภายใน 30 วัน หลังจากได้รับคำขอที่ครบถ้วนและถูกต้อง
ในบางกรณี เช่น มีข้อมูลจำนวนมาก คุณสามารถขยายระยะเวลาออกไปได้อีกไม่เกิน 30 วัน แต่ต้องแจ้งให้ผู้ยื่นคำขอทราบ
ค่าธรรมเนียม
โดยทั่วไป คำขอเหล่านี้ต้องดำเนินการโดยไม่คิดค่าใช้จ่าย
สามารถเรียกเก็บค่าธรรมเนียมได้เฉพาะในบางกรณี เช่น ผู้ขอระบุรูปแบบพิเศษ มีค่าใช้จ่ายในการจัดส่ง หรือเป็นคำขอซ้ำซ้อนและมากเกินสมควร
การปฏิเสธคำขอ
สามารถปฏิเสธได้เฉพาะตามเหตุผลที่กำหนด เช่น การเปิดเผยข้อมูลถูกห้ามตามกฎหมายหรือคำสั่งศาล อาจกระทบสิทธิของบุคคลอื่น หรือคำขอนั้นไม่มีมูล
การเก็บบันทึก
ธุรกิจต้องเก็บบันทึกคำขอเข้าถึงข้อมูลไว้เป็นเวลาอย่างน้อย 2 ปี
ทำไมเรื่องนี้จึงเป็นปัญหาด้าน IT มากกว่าที่คิด
ลองอ่านรายการด้านบนอีกครั้ง แล้วจะเห็นว่าแทบทุกข้อมีสมมติฐานสำคัญอยู่ข้อหนึ่ง นั่นคือ
คุณต้องรู้ก่อนว่าข้อมูลของคุณอยู่ที่ไหน
หากต้องการตอบคำขอเข้าถึงข้อมูลให้ครบถ้วน คุณต้องสามารถค้นหาทุกจุดที่อาจมีข้อมูลของบุคคลนั้น และรวบรวมออกมาให้ครบ
สำหรับ SME ไทยที่มีพนักงานประมาณ 30 คน ข้อมูลของคนหนึ่งคนอาจกระจายอยู่ในหลายระบบ เช่น
ระบบบัญชีและออก Invoice
CRM หรือ Spreadsheet รายชื่อลูกค้า
กล่องอีเมล รวมถึงอีเมลของพนักงานที่ลาออกไปแล้ว
Shared Drive, Google Drive หรือ OneDrive
บทสนทนากับลูกค้าทาง LINE
แฟ้มฝ่าย HR สำเนาบัตรประชาชน และข้อมูลเงินเดือน
กล้อง CCTV
ระบบจอง
แบบฟอร์ม Contact บนเว็บไซต์
ระบบ Email Marketing
รวมถึง Laptop ของผู้จัดการฝ่ายขายที่เก็บรายชื่อลูกค้าไว้ในไฟล์ส่วนตัวของตัวเอง
หากไม่มีใครเคยทำ Data Mapping ว่าข้อมูลอยู่ในระบบใดบ้าง ระยะเวลา 30 วันจะสั้นลงทันที
หากอีเมลของอดีตพนักงานถูกลบไปแล้วโดยไม่มี Retention Policy หรือยังคงเปิดใช้งานอยู่แต่ไม่มีใครดูแล คุณอาจไม่สามารถตอบได้อย่างมั่นใจด้วยซ้ำว่า ธุรกิจยังมีข้อมูลอะไรของบุคคลนั้นอยู่บ้าง
และหากข้อมูลถูก Copy ไปทั่วทั้งองค์กรโดยไม่มีการควบคุม คุณอาจพบข้อมูลนั้นในสถานที่ที่คาดไม่ถึง ซึ่งก็กลายเป็นปัญหาด้าน PDPA ในตัวมันเอง
นี่คือเหตุผลที่กฎเกี่ยวกับ Access Request เชื่อมโยงโดยตรงกับเรื่อง Access Control ที่เราเคยพูดถึงในบทความเดือนกรกฎาคมเกี่ยวกับ PDPA Compliance
ธุรกิจที่ควบคุมได้ว่าใครสามารถเข้าถึงข้อมูลชุดใด ก็ย่อมมีแนวโน้มที่จะรู้ด้วยว่าข้อมูลชุดนั้นอยู่ที่ไหน
ส่วนธุรกิจที่ไม่มีระบบควบคุม มักจะค้นพบปัญหาเหล่านี้ก็ต่อเมื่อมีคำขอจริงเข้ามาแล้ว
ความเสี่ยงด้านความปลอดภัยที่ซ่อนอยู่ใน Access Request
ยังมีอีกมุมหนึ่งของ IT ที่มักถูกมองข้าม
Access Request ถูกออกแบบมาเพื่อให้บุคคลภายนอกธุรกิจสามารถขอรับสำเนาข้อมูลส่วนบุคคลของตนเองได้
ดังนั้น หากขั้นตอนยืนยันตัวตนของคุณไม่รัดกุม ระบบนี้ก็อาจกลายเป็นช่องทางให้คนผิดได้รับข้อมูลไปแทน
มิจฉาชีพในปัจจุบันมีการปลอมตัวเป็นลูกค้าเพื่อขอ Reset Password หรือเปลี่ยนบัญชีรับเงินอยู่แล้ว
คำขอข้อมูลที่ดูเหมือนมาจากลูกค้า ส่งมาจากอีเมลที่คล้ายของจริง พร้อมเรื่องราวที่ดูน่าเชื่อถือ อาจหลอกให้พนักงานที่กำลังยุ่งส่งสำเนาบัตรประชาชน ที่อยู่ และประวัติการชำระเงินออกไป
การส่งข้อมูลของคนหนึ่งไปให้อีกคน ถือเป็น Data Breach และอาจมีผลตามมาภายใต้ PDPA รวมถึงหน้าที่ในการแจ้ง PDPC ภายใน 72 ชั่วโมง หากเหตุการณ์นั้นมีความเสี่ยงต่อเจ้าของข้อมูล
ดังนั้น ข้อกำหนดเรื่องการยืนยันตัวตนไม่ได้เป็นเพียงพิธีการ
กระบวนการของคุณควรตรวจสอบตัวตนด้วยข้อมูลที่เจ้าของข้อมูลตัวจริงน่าจะมี แต่ผู้แอบอ้างไม่น่าจะมี
และข้อมูลที่ร้องขอควรถูกส่งผ่านช่องทางที่ปลอดภัย ไม่ใช่ส่งเป็นไฟล์แนบไปยังอีเมลใดก็ตามที่ส่งคำขอเข้ามา
กระบวนการที่ใช้งานได้จริงควรเป็นแบบไหน
คุณไม่จำเป็นต้องมี Compliance Department ขนาดใหญ่
สิ่งที่ต้องมีคือ Procedure แบบสั้น กระชับ เป็นลายลักษณ์อักษร และระบบ IT ที่สามารถรองรับกระบวนการนั้นได้
มีช่องทางรับคำขอที่ชัดเจน
ประกาศที่อยู่สำหรับส่งทางไปรษณีย์ และจุดรับคำขอด้วยตนเองตามที่กฎกำหนด
ควรเพิ่มอีเมลหรือ Web Form เข้าไปด้วย และต้องมั่นใจว่าคำขอจากทุกช่องทางถูกส่งต่อไปถึงผู้รับผิดชอบที่ระบุไว้อย่างชัดเจน
มี Data Map
จัดทำรายการแบบง่าย ๆ ว่าระบบใดบ้างที่เก็บข้อมูลส่วนบุคคล เก็บข้อมูลประเภทใด และใครเป็นผู้ดูแล
หากธุรกิจมี ROPA อยู่แล้ว จุดนี้คือหนึ่งในประโยชน์สำคัญของการจัดทำ ROPA
สามารถค้นหาข้อมูลได้จริง
ตรวจสอบให้แน่ใจว่าคุณสามารถ Search อีเมล Shared Drive และระบบธุรกิจหลักต่าง ๆ ด้วยชื่อ อีเมล เบอร์โทรศัพท์ หรือเลขบัตรประชาชนของบุคคลนั้นได้
รวมถึงข้อมูลที่ถูก Archive และ Mailbox ของอดีตพนักงานด้วย
มีขั้นตอนยืนยันตัวตนที่ชัดเจน
ตกลงภายในองค์กรให้ชัดว่า จะยอมรับหลักฐานประเภทใด และมีวิธีตรวจสอบอย่างไร
พร้อมทั้งฝึกพนักงานไม่ให้ข้ามขั้นตอนนี้ แม้จะถูกเร่งรัดหรือกดดันก็ตาม
ส่งข้อมูลอย่างปลอดภัย
ควรส่งข้อมูลผ่านช่องทางที่เข้ารหัส หรือใช้ไฟล์ที่มี Password Protection และส่ง Password แยกผ่านอีกช่องทางหนึ่ง
มี Request Log
บันทึกทุกคำขอ วันที่ได้รับ วันที่คำขอมีข้อมูลครบถ้วน สิ่งที่ดำเนินการ และวันที่ตอบกลับ
และเก็บบันทึกเหล่านี้ไว้อย่างน้อย 2 ปี
มีระบบติดตาม Deadline
30 วันผ่านไปเร็วกว่าที่คิด โดยเฉพาะเมื่อคนรับผิดชอบเรื่องนี้คนเดียวกันยังต้องดูแล Finance และ HR ไปพร้อมกัน
ควรบันทึก Deadline รวมถึงกำหนดแจ้งการขยายเวลาไว้ใน Shared Calendar
HumanIT ช่วยตรงไหนได้บ้าง
Access Request เป็นจุดที่หน้าที่ตามกฎหมายมาบรรจบกับการจัดการ IT ในชีวิตประจำวัน
ทนายความสามารถอธิบายได้ว่ากฎหมายกำหนดอะไรไว้
แต่สุดท้ายแล้ว ต้องมีใครสักคนทำให้แน่ใจว่า คุณสามารถค้นหาข้อมูลได้จริง ควบคุมได้ว่าใครเข้าถึงข้อมูลนั้นได้ และมีหลักฐานบันทึกไว้อย่างครบถ้วน
แพ็กเกจ Gold ของ HumanIT ราคา 2,500 บาทต่ออุปกรณ์ต่อเดือน หรือ 2,000 บาทเมื่อชำระแบบรายปี ครอบคลุม User Lifecycle Management และ Access Control
ช่วยให้บัญชีของอดีตพนักงานได้รับการจัดการอย่างเหมาะสม และจำกัดการเข้าถึงข้อมูลส่วนบุคคลเฉพาะคนที่จำเป็นต้องใช้เท่านั้น
แพ็กเกจนี้ยังรวม 24/7 SOC-lite Monitoring และ Backup ที่ผ่านการทดสอบแล้ว
สำหรับธุรกิจที่ต้องการหลักฐานที่พร้อมสำหรับการ Audit บริการ Compliance Management ราคา 15,000 บาทต่อเดือน เพิ่มการจัดการ Policy และ Evidence แบบรวมศูนย์ Continuous Vulnerability Scanning การทบทวน Compliance รายไตรมาส และรายงานที่พร้อมสำหรับการ Audit
บริการนี้สามารถเพิ่มเข้ากับแพ็กเกจใดก็ได้
ทุกแพ็กเกจกำหนดขั้นต่ำ 10 อุปกรณ์ที่อยู่ภายใต้การดูแล
ขั้นตอนง่าย ๆ ที่ควรลองทำตอนนี้
ลองทดสอบระบบของคุณเอง เลือกลูกค้าจริงหนึ่งคนโดยได้รับอนุญาตจากเขาก่อน หรือเลือกพนักงานหนึ่งคน แล้วจับเวลาว่าคุณใช้เวลานานแค่ไหนในการค้นหาข้อมูลส่วนบุคคลทั้งหมดที่ธุรกิจมีเกี่ยวกับคนคนนั้น จดว่าต้องเข้าไปค้นในระบบใดบ้าง และมีจุดไหนที่คุณไม่แน่ใจว่าค้นครบแล้วหรือยัง
หากใช้เวลามากกว่าหนึ่งวัน หรือเมื่อจบแล้วคุณยังไม่มั่นใจว่าพบข้อมูลครบทุกอย่าง นั่นคือภาพที่ชัดเจนแล้วว่า ธุรกิจยังมีงานอะไรต้องทำก่อนที่คำขอจริงจะเข้ามา PDPC ได้กำหนดกฎไว้อย่างชัดเจนแล้ว
ธุรกิจที่จะสามารถรับมือกับคำขอเหล่านี้ได้อย่างไม่วุ่นวาย คือธุรกิจที่รู้ตั้งแต่แรกว่า
ข้อมูลของตัวเองอยู่ที่ไหนบ้าง
คำถามที่พบบ่อย
Data Subject Access Request ภายใต้ PDPA คืออะไร?
คือคำขอจากเจ้าของข้อมูลส่วนบุคคล หรือบุคคลที่ดำเนินการแทน เพื่อเข้าถึงหรือขอสำเนาข้อมูลส่วนบุคคลที่ธุรกิจเก็บไว้เกี่ยวกับเขา รวมถึงขอทราบแหล่งที่มาของข้อมูลที่ถูกเก็บรวบรวมโดยไม่ได้รับความยินยอม
ธุรกิจไทยมีเวลาเท่าไรในการตอบ Access Request?
ภายใต้ประกาศของ PDPC ที่มีผลตั้งแต่วันที่ 14 กันยายน 2026 ธุรกิจต้องดำเนินการภายใน 30 วันหลังได้รับคำขอที่ครบถ้วนและถูกต้อง
สามารถขยายได้อีกไม่เกิน 30 วัน หากแจ้งให้ผู้ยื่นคำขอทราบ เช่น กรณีมีข้อมูลจำนวนมาก
สามารถเรียกเก็บค่าธรรมเนียมสำหรับ Access Request ได้หรือไม่?
โดยทั่วไปไม่ได้
สามารถเรียกเก็บค่าธรรมเนียมได้เฉพาะบางกรณี เช่น การขอรูปแบบข้อมูลพิเศษ ค่าใช้จ่ายในการจัดส่ง หรือคำขอที่ซ้ำซ้อนและมากเกินสมควร
ธุรกิจขนาดเล็กต้องปฏิบัติตามกฎ Access Request ใหม่นี้หรือไม่?
ต้องปฏิบัติตาม
PDPA มีผลกับธุรกิจที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยไม่ขึ้นอยู่กับขนาดของธุรกิจ และกฎ Access Request ใช้กับ Data Controller โดยทั่วไป
ต้องเก็บบันทึก Access Request นานแค่ไหน?
อย่างน้อย 2 ปี ตามที่ระบุไว้ในประกาศ
ความเสี่ยงที่ใหญ่ที่สุดในการจัดการ Access Request คืออะไร?
การส่งข้อมูลของบุคคลหนึ่งไปให้ผิดคน
หากกระบวนการยืนยันตัวตนไม่รัดกุม Access Request อาจกลายเป็น Data Breach และในบางกรณีอาจต้องแจ้ง PDPC ภายใน 72 ชั่วโมง
ต้องการความช่วยเหลือในการจัดระบบข้อมูลและ Access Control ให้พร้อมสำหรับคำขอภายใต้ PDPA หรือไม่?
โทรหา Eve on +66 89 354 9916 หรือดูรายละเอียดแพ็กเกจได้ที่ humanit.asia/pricing-and-plans.
