สรุปกฎใหม่ PDPA แบบลงมือทำ ช่วยทีมไอที นักศึกษา และองค์กร ตั้งระบบเข้าถึง-ขอสำเนาข้อมูลได้จริง ลดอุปสรรคการเรียนรู้กฎหมายดิจิทัล
มหาวิทยาลัยศรีปทุม (SPU) สรุปสาระสำคัญ “ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคล…” พ.ศ. 2569 ที่ประกาศในราชกิจจานุเบกษา เล่ม 143 ตอนพิเศษ 175 ง เมื่อวันที่ 16 กรกฎาคม 2569 และมีผลใช้บังคับตั้งแต่วันที่ 14 กันยายน 2569 เพื่อให้สายเทคโนโลยี นักศึกษา และผู้ประกอบการสามารถแปลงข้อกฎหมายเป็นขั้นตอนปฏิบัติ สร้างระบบ Data Subject Access Request (DSAR) ที่ตอบสนองสิทธิประชาชนได้จริงภายในกรอบเวลา
สิทธิสำคัญที่ประชาชนใช้ได้เมื่อประกาศมีผล
– ขอเข้าตรวจดูข้อมูลส่วนบุคคลของตน
– ขอรับสำเนาข้อมูลที่องค์กรเก็บ ใช้ หรือเปิดเผย
– ขอทราบแหล่งที่มาของข้อมูลที่ตนไม่ได้ให้ความยินยอม
– มอบอำนาจให้ผู้อื่นดำเนินการแทนได้
ผู้ควบคุมข้อมูลต้องมีช่องทางยื่นคำขออย่างน้อยที่สถานที่ทำการหรือทางไปรษณีย์ และสามารถเพิ่มช่องทางอิเล็กทรอนิกส์ เช่น เว็บไซต์ แอปฯ หรืออีเมล
กำหนดเวลาที่องค์กรต้องปฏิบัติ
– ดำเนินการให้แล้วเสร็จภายใน 30 วันนับจากวันที่ได้รับคำขอที่ถูกต้องครบถ้วน ยืนยันตัวตนได้
– ขยายเวลาได้อีกไม่เกิน 30 วัน ในกรณีจำเป็น โดยต้องแจ้งเหตุผลแก่เจ้าของข้อมูล
– หากคำขอ/หลักฐานไม่ครบ ต้องแจ้งให้แก้ไขภายในเวลาที่กำหนด (ไม่น้อยกว่า 10 วัน)
หลักเกณฑ์ค่าธรรมเนียม
– ให้ข้อมูลผ่านช่องทางอิเล็กทรอนิกส์โดยไม่ต้องจัดทำรูปแบบพิเศษ และไม่มีค่าใช้จ่ายจัดส่งโดยตรง ต้องไม่เรียกเก็บค่าธรรมเนียม
– เรียกเก็บได้ในกรณีคำขอซ้ำจำนวนมาก ข้อมูลปริมาณมาก หรือภาระเกินสมควร โดยต้องสมเหตุสมผลและไม่เกินต้นทุนจริง
– อัตราสูงสุด: สำเนากระดาษ A4 หน้าละไม่เกิน 1 บาท, สำเนาจากเครื่องพิมพ์คอมพิวเตอร์บน A4 หน้าละไม่เกิน 3 บาท, ค่ารับรองความถูกต้อง คำรับรองละไม่เกิน 5 บาท และต้องแจ้งอัตราให้ทราบล่วงหน้า/ขณะใช้สิทธิ
เหตุที่ปฏิเสธได้และแนวทางเปิดเผยเท่าที่จำเป็น
– เมื่อขัดต่อกฎหมาย/คำสั่งศาล กระทบสิทธิและเสรีภาพผู้อื่น หรือมีความลับราชการ/การค้า/ทรัพย์สินทางปัญญา
– ควรลบ ตัดทอน ปกปิด (redaction/blur) เพื่อเปิดเผยเฉพาะส่วนที่เปิดเผยได้ พร้อมบันทึกเหตุผลการปฏิเสธตามกฎหมาย
ข้อกำหนดการบันทึกหลักฐาน
– ต้องบันทึกรายละเอียดคำขอ เอกสาร การดำเนินการ/การปฏิเสธ และเก็บอย่างน้อย 2 ปี (รูปแบบอิเล็กทรอนิกส์ได้)
ผลกระทบเชิงระบบไอทีที่ต้องเตรียม
1) ระบบรับและติดตามคำขอ PDPA/DSAR พร้อม SLA แจ้งเตือนกำหนดเวลา
2) ความสามารถเชื่อมข้อมูลข้ามระบบ (CRM, แอป/เว็บไซต์, Sales/Payment, Call Center, Email/Marketing, CCTV/Access log, HR)
3) เครื่องมือค้นหา-รวบรวม-ส่งออกข้อมูลบุคคลหนึ่งราย (เช่น PDF/CSV/ไฟล์อิเล็กทรอนิกส์)
4) กระบวนการตรวจสอบและปกปิดข้อมูลบุคคลที่สาม (Data Redaction)
5) การยืนยันตัวตนที่เหมาะสมกับความเสี่ยง (เอกสาร, OTP, login, factor เสริม)
6) ช่องทางส่งมอบข้อมูลที่ปลอดภัย (พอร์ทัล, ลิงก์หมดอายุ, ไฟล์เข้ารหัส, แยกรหัสผ่าน)
7) Audit log ครบถ้วน เก็บอย่างน้อย 2 ปี (ใครดูอะไร เมื่อใด ส่งผ่านช่องทางใด ปกปิดข้อมูลใด)
8) บันทึกแหล่งที่มาข้อมูล (Data Lineage/Metadata) ครบถ้วน เพื่อรองรับสิทธิขอทราบแหล่งที่มา
ระบบที่น่าปรับก่อน: CRM, Customer Data Platform, ระบบสมาชิก, Call Center, Document Management, HR, Marketing Automation, Data Warehouse และในองค์กรขนาดใหญ่ควรพัฒนา DSAR workflow เฉพาะ
สิ่งที่ทีมไอทีควรเริ่มทำทันที: ทำบัญชีข้อมูลและแหล่งเก็บ ร่วมกับ DPO/ฝ่ายกฎหมาย ทดสอบสถานการณ์จริง “ผู้ใช้ 1 รายขอข้อมูลทั้งหมด” วัดความสามารถในการรวบรวม-ตรวจสอบ-ส่งมอบอย่างปลอดภัยภายใน 30 วัน
SPU เผยแพร่ข้อมูลฉบับปฏิบัติการนี้เพื่อช่วยให้ชุมชนเทคโนโลยีและนักศึกษาลดอุปสรรคในการเข้าถึงความรู้ด้านกฎหมายดิจิทัล และยกระดับมาตรฐานความเป็นส่วนตัวในสังคมดิจิทัลของไทย
Distills the new PDPA into an action playbook so IT teams, students, and organizations can build access-and-copy processes that work — lowering barriers to learning digital law
Sripatum University (SPU) provides a practical summary of the “Notification of the Personal Data Protection Committee on Criteria for Accessing and Obtaining Copies of Personal Data… B.E. 2569,” published in the Royal Gazette (Vol. 143, Special Part 175 Ng) on 16 July 2026 and effective from 14 September 2026. Our goal is to help technology professionals, students, and businesses convert regulatory text into executable DSAR workflows that honor people’s rights on time.
Key rights once in force
– Inspect one’s own personal data
– Obtain a copy of data collected/used/disclosed
– Learn the data source where consent was not given
– Authorize a representative to act on one’s behalf
Controllers must provide at least in-person or postal channels, and may add electronic options (website, app, email).
Timeframes organizations must meet
– Complete requests within 30 days after receiving a complete, verified request
– One extension up to 30 more days with stated reasons
– If incomplete, notify for correction with a deadline (no less than 10 days)
Fee rules
– No fee for electronic provision when no special format or shipping cost applies
– Reasonable, cost-based fees allowed for repetitive, voluminous, or unduly burdensome requests
– Maximum rates: paper A4 ≤ 1 THB/page; computer print A4 ≤ 3 THB/page; certification ≤ 5 THB per statement. Fee details must be disclosed in advance/at the time of request.
Lawful refusals and disclose-what-you-can
– Refuse where disclosure would violate law/court order, infringe others’ rights, or expose state/trade secrets or third-party IP
– Prefer redaction/partial disclosure (blur, mask, remove) with recorded reasons over full denial
Evidence and retention
– Log request details, evidence, actions/denials; retain for at least 2 years (electronic allowed)
What IT must build now
1) DSAR intake and tracking with SLAs and due-date alerts
2) Cross-system data stitching (CRM, apps/web, sales/payment, call center, email/marketing, CCTV/access logs, HR)
3) Person-centric search and export (PDF/CSV/e-files)
4) Review and third-party data redaction workflow
5) Risk-appropriate identity verification (ID docs, OTP, login, additional factors)
6) Secure delivery (portal, expiring links, encrypted files, separate passwords)
7) Complete audit logs (who viewed/exported/sent/which fields were redacted), retained ≥ 2 years
8) Data lineage/metadata on sources, receipt dates, and purposes
Systems to prioritize: CRM, CDP, membership, call center, document management, HR, marketing automation, and data warehouses; large organizations should implement a dedicated DSAR workflow.
Get started now: inventory data and systems with your DPO/legal, then run a “one user requests all data” drill to prove safe end-to-end fulfillment within 30 days.
By sharing this practical guidance, SPU lowers the barrier to learning complex digital regulation and supports a stronger privacy culture across Thailand’s digital ecosystem.
ที่มา:
