PDPA / Privacy
ตอบคำขอเข้าถึงข้อมูลตาม PDPA ให้ทัน 30 วัน: ขั้นตอนสำหรับ SME
คำขอเข้าถึงข้อมูลมักมาจากอดีตพนักงานหรือลูกค้าที่มีข้อพิพาทอยู่ หากไม่มีขั้นตอนรองรับ ทีมงานมักค้นข้อมูลไม่ครบหรือเปิดข้อมูลของคนอื่นโดยไม่ตั้งใจ ขั้นตอนด้านล่างอิงจาก พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และแนวทางที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เผยแพร่
1) บันทึกวันรับคำขอและยืนยันตัวตน
กำหนด 30 วันเริ่มนับเมื่อได้รับคำขอ จึงควรมีช่องทางรับคำขอที่บันทึกวันที่ได้ เช่น อีเมลกลางหรือแบบฟอร์มบนเว็บ ก่อนเปิดข้อมูลให้ตรวจว่าผู้ขอเป็นเจ้าของข้อมูลจริง โดยขอข้อมูลเท่าที่จำเป็นต่อการยืนยัน และส่งข้อมูลกลับทางช่องทางที่ปลอดภัย
2) ค้นจากทุกระบบตามบันทึกรายการกิจกรรมการประมวลผล
มาตรา 39 กำหนดให้ผู้ควบคุมข้อมูลบันทึกรายการกิจกรรมการประมวลผล (ROPA) บันทึกนี้คือแผนที่ว่าข้อมูลอยู่ที่ใดบ้าง เช่น ระบบบุคคล อีเมล กล้องวงจรปิด แชตกับลูกค้า และไฟล์สำรอง ธุรกิจที่ไม่มีบันทึกนี้มักค้นไม่ครบ
3) ปิดบังข้อมูลของบุคคลอื่นก่อนส่ง
เอกสารที่จะส่งมักมีชื่อเพื่อนร่วมงาน ลูกค้ารายอื่น หรือผู้ร้องเรียน มาตรา 30 ให้ปฏิเสธได้หากการเปิดเผยจะกระทบสิทธิและเสรีภาพของบุคคลอื่น จึงควรปิดบังข้อมูลส่วนนั้นแทนการปฏิเสธทั้งคำขอ
4) ปฏิเสธเฉพาะเมื่อมีเหตุตามกฎหมาย และบันทึกเหตุผล
การปฏิเสธทำได้เมื่อเป็นไปตามกฎหมายหรือคำสั่งศาล หรือกระทบสิทธิของผู้อื่น เมื่อปฏิเสธต้องบันทึกการปฏิเสธพร้อมเหตุผลไว้ในรายการตามมาตรา 39 และควรแจ้งผู้ขอเป็นลายลักษณ์อักษร
5) แหล่งอ้างอิง
พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 30 และ 39 (ราชกิจจานุเบกษา) และประกาศ แนวปฏิบัติของ สคส. ที่ https://www.pdpc.or.th ซึ่งควรตรวจฉบับล่าสุดก่อนวางขั้นตอน
สรุป
หากต้องการให้ทีมเราช่วยจัดทำบันทึกรายการกิจกรรมการประมวลผลและขั้นตอนตอบคำขอ สอบถามเจ้าหน้าที่เพื่อขอใบเสนอราคา
แหล่งอ้างอิงทางการ
ข้อมูลกฎหมายและภาษีเปลี่ยนแปลงได้ โปรดตรวจสอบกับหน่วยงานหรือปรึกษาทีมเราก่อนตัดสินใจ
คำถามที่พบบ่อย
ต้องตอบคำขอเข้าถึงข้อมูลภายในกี่วัน?+
มาตรา 30 กำหนดให้ดำเนินการภายใน 30 วันนับแต่วันที่ได้รับคำขอ
ปฏิเสธคำขอได้หรือไม่?+
ได้เมื่อเป็นไปตามกฎหมายหรือคำสั่งศาล หรือการเปิดเผยจะกระทบสิทธิของผู้อื่น และต้องบันทึกการปฏิเสธพร้อมเหตุผล
บทความที่เกี่ยวข้อง
ดูทั้งหมด →