เมื่อวันที่ 16 กรกฎาคม 2569 ราชกิจจานุเบกษาได้ออกประกาศ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับเจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ในความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล หรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอม พ.ศ. 2569
ประกาศดังกล่าวเป็นการกำหนดหลักเกณฑ์เกี่ยวกับการใช้สิทธิในการเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่อยู่ในความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล เพื่อให้เจ้าของข้อมูลตรวจสอบว่าองค์กรเก็บข้อมูลอะไรไว้ รวมถึงขอทราบแหล่งที่มาของข้อมูลที่ไม่ได้ให้ความยินยอม ขณะที่บริษัท หน่วยงานรัฐ และผู้ให้บริการต่าง ๆ ต้องเตรียมระบบรับคำขอและดำเนินการภายในเวลาที่กฎหมายกำหนด โดยสาระสำคัญมีดังนี้
📌 สิทธิพื้นฐานที่เจ้าของข้อมูลสามารถเรียกร้องได้ : กำหนดมาตรฐานขั้นสูงและสิทธิที่ชัดเจนให้แก่ประชาชน ลูกค้า หรือพนักงาน (ในฐานะเจ้าของข้อมูล) ดังนี้
– สิทธิขอเข้าถึงและขอรับสำเนา : สามารถขอเข้าถึงข้อมูลส่วนบุคคลของตนเองที่องค์กรจัดเก็บ รวบรวม ใช้ หรือเปิดเผย และสามารถขอให้ออกสำเนาเอกสารหรือข้อมูลนั้นได้
– สิทธิขอให้เปิดเผยแหล่งที่มา : หากข้อมูลนั้นองค์กรไม่ได้เป็นผู้จัดเก็บจากเจ้าของข้อมูลโดยตรง เจ้าของข้อมูลมีสิทธิขอให้เปิดเผยว่าองค์กรได้ข้อมูลดังกล่าวมาจากแหล่งใด
– สิทธิการมอบอำนาจ : เจ้าของข้อมูลสามารถทำหนังสือมอบอำนาจให้บุคคลอื่นมาดำเนินการยื่นคำร้องและรับสำเนาแทนได้อย่างถูกต้องตามกฎหมาย
📌 กรอบระยะเวลาการดำเนินงานขององค์กร
ต้องดำเนินการภายใน 30 วัน : เมื่อองค์กรได้รับคำร้องขอ (Data Subject Request – DSR) ที่ถูกต้องและผ่านขั้นตอนการยืนยันตัวตนแล้ว จะต้องจัดหาข้อมูลหรือส่งมอบสำเนาให้เสร็จสิ้นภายใน 30 วัน หากล่าช้าหรือเพิกเฉยโดยไม่มีเหตุผลอันควรตามกฎหมาย อาจมีความรับผิดตามที่กฎหมายกำหนด
📌 เกณฑ์มาตรฐานการคิดค่าธรรมเนียมการทำสำเนา : เพื่อป้องกันไม่ให้องค์กรใช้เรื่องค่าใช้จ่ายมาเป็นอุปสรรคขัดขวางการใช้สิทธิ
– ช่องทางดิจิทัล / ออนไลน์ : โดยหลักการแล้ว ต้องไม่มีการเรียกเก็บค่าธรรมเนียม (ฟรีค่าบริการ)
– สำเนากระดาษ (ถ่ายเอกสาร) ขนาด A4 : เรียกเก็บได้ ไม่เกินหน้าละ 1 บาท
– สำเนาที่สั่งพิมพ์ออกจากคอมพิวเตอร์ลงกระดาษ A4 : เรียกเก็บได้ ไม่เกินหน้าละ 3 บาท
– ค่ารับรองความถูกต้องของข้อมูล : เรียกเก็บได้ ไม่เกินคำรับรองละ 5 บาท
📌 สิ่งที่องค์กรควรดำเนินการ : องค์กรจำเป็นต้องปรับปรุงกระบวนการทำงานและระบบ IT ที่เกี่ยวข้อง
– ระบบรับคำร้องและยืนยันตัวตน : ต้องมีช่องทางการรับคำร้อง (DSR Workflow) ที่ชัดเจน และมีระบบตรวจสอบตัวตน (Identity Verification) ที่รัดกุม เพื่อป้องกันการสวมรอยหรือส่งมอบข้อมูลให้บุคคลอื่น
– ระบบค้นหาและเชื่อมโยงข้อมูล : ระบบ IT ต้องสามารถดึงข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลที่ยื่นคำขอ ซึ่งกระจายอยู่ในระบบต่าง ๆ (เช่น ระบบ HR และระบบฐานข้อมูลลูกค้า) มารวบรวมได้อย่างรวดเร็ว
– เทคนิคการปกปิดข้อมูลผู้อื่น (Data Masking) : หากในสำเนาข้อมูลมีข้อมูลส่วนบุคคลของ “บุคคลที่สาม” รวมอยู่ด้วย (เช่น รูปถ่ายพนักงานคนอื่น หรือภาพจากกล้อง CCTV) องค์กรมีหน้าที่ต้องเซนเซอร์หรือปกปิดข้อมูลของคนอื่นก่อนส่งมอบ
– ระบบบันทึกหลักฐาน (Audit Log) : ต้องจัดเก็บประวัติ บันทึกการขอใช้สิทธิ และหลักฐานการดำเนินการขององค์กรไว้อย่างน้อย 2 ปี เพื่อรองรับการตรวจสอบ
📌 ข้อยกเว้นที่องค์กรสามารถปฏิเสธคำขอได้ : องค์กรสามารถปฏิเสธการให้เข้าถึงหรือปฏิเสธการให้สำเนาได้ เฉพาะกรณีต่อไปนี้เท่านั้น
– กรณีที่คำสั่งศาลหรือกฎหมายอื่นบัญญัติห้ามเปิดเผยข้อมูลโดยชัดแจ้ง
– การให้เข้าถึงหรือให้สำเนานั้น จะส่งผลกระทบและก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่นอย่างร้ายแรง
📅 วันที่มีผลใช้บังคับ : กำหนดให้ใช้บังคับเมื่อพ้นกำหนด 60 วันนับแต่วันประกาศ ซึ่งจะเริ่มบังคับใช้จริงในวันที่ 14 กันยายน 2569 เป็นต้นไป
