สิทธิของเจ้าของข้อมูลส่วนบุคคล คืออะไร? คู่มือสำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์

หลายเอเจนซีและฟรีแลนซ์ที่รับทำเว็บไซต์เข้าใจว่าสิทธิของเจ้าของข้อมูลส่วนบุคคลคือเรื่องเดียวคือ "ลูกค้าขอให้ลบข้อมูลก็ลบให้" ความเข้าใจนี้แคบเกินไปและอาจทำให้ทีมพลาดได้ง่าย เพราะกฎหมายให้สิทธิเจ้าของข้อมูลไว้ถึงหกแบบ ไม่ใช่แค่การลบ และแต่ละสิทธิต้องการวิธีจัดการที่ต่างกัน คนที่ขอเข้าถึงข้อมูลของตัวเองต้องการคำตอบคนละแบบกับคนที่ขอคัดค้านการประมวลผล หรือคนที่ขอโอนย้ายข้อมูลไปใช้ที่อื่น การมีแค่ปุ่ม "ลบบัญชี" อย่างเดียวในระบบจึงไม่เพียงพอสำหรับเว็บไซต์ที่เก็บข้อมูลผู้ใช้จริง

คู่มือนี้อธิบายภาพรวมของสิทธิเจ้าของข้อมูลส่วนบุคคลทั้งระบบ สำหรับทีมเอเจนซี ฟรีแลนซ์ และนักพัฒนาเว็บไซต์ที่ดูแลเว็บของลูกค้าหรือของตัวเอง ครอบคลุมตั้งแต่สิทธิทั้งหกแบบคืออะไร ระบบรับคำขอควรหน้าตาเป็นอย่างไร การยืนยันตัวตนผู้ขอโดยไม่เก็บข้อมูลเกินจำเป็น กรอบเวลาที่ต้องตอบกลับ ไปจนถึงหลักฐานที่ควรเก็บไว้พิสูจน์ว่าจัดการคำขอแล้วจริง เพื่อให้ทีมเห็นภาพรวมก่อนไปอ่านคู่มือเชิงลึกแต่ละหัวข้อต่อ

สิทธิของเจ้าของข้อมูลส่วนบุคคลไม่ได้มีแค่การขอให้ลบข้อมูล แต่ครอบคลุมหกสิทธิ ได้แก่ ขอเข้าถึงข้อมูล ขอแก้ไขข้อมูลให้ถูกต้อง ขอลบหรือทำลายข้อมูล ขอคัดค้านการประมวลผล ขอระงับการใช้ข้อมูลชั่วคราว และขอโอนย้ายข้อมูล เอเจนซีและฟรีแลนซ์ที่ดูแลเว็บไซต์ของลูกค้าจำเป็นต้องมีระบบรับคำขอ ยืนยันตัวตนผู้ขอ ติดตามกรอบเวลาตอบกลับ และเก็บหลักฐานการดำเนินการทุกครั้ง ไม่ใช่รอให้คำขอเข้ามาแล้วค่อยคิดหาวิธีทีละกรณี

สิทธิของเจ้าของข้อมูลส่วนบุคคลคืออะไร และทำไม Agency ต้องสนใจ

สิทธิของเจ้าของข้อมูลส่วนบุคคลคือชุดอำนาจที่กฎหมายให้ไว้กับเจ้าของข้อมูลในการควบคุมข้อมูลของตัวเองที่องค์กรอื่นเก็บและใช้อยู่ สำหรับเอเจนซีที่รับทำเว็บไซต์ให้ลูกค้าหลายราย และฟรีแลนซ์ที่ดูแลระบบหลังบ้านของเว็บไซต์เอง ความท้าทายคือมักไม่มีทีมกฎหมายเต็มเวลา และหลายครั้งไม่มีแม้แต่คนรับผิดชอบชัดเจนว่าใครต้องตอบเมื่อมีอีเมลขอใช้สิทธิเข้ามา คำขอที่ถูกละเลยหรือตอบช้าเกินกรอบเวลาที่กฎหมายกำหนดกลายเป็นความเสี่ยงที่มองไม่เห็นจนกว่าจะมีการร้องเรียนจริง

ความต่างระหว่างสิทธิเจ้าของข้อมูลกับฐานกฎหมายในการประมวลผล

ทีมจำนวนมากสับสนสองเรื่องนี้เข้าด้วยกัน ฐานกฎหมายในการประมวลผลข้อมูลคือเหตุผลที่องค์กรมีสิทธิเก็บและใช้ข้อมูลตั้งแต่แรก ส่วนสิทธิของเจ้าของข้อมูลคือกลไกที่ให้เจ้าของข้อมูลเข้ามาควบคุมข้อมูลนั้นภายหลัง แม้องค์กรจะมีฐานกฎหมายรองรับการเก็บข้อมูลอยู่แล้วก็ยังต้องเปิดช่องให้เจ้าของข้อมูลใช้สิทธิได้ ทั้งสองเรื่องจึงเป็นระบบคนละส่วนที่ต้องวางแยกกันแต่เชื่อมโยงกัน

สิทธิทั้งหกแบบ และตัวอย่างในบริบทเว็บไซต์ของ Agency

สิทธิขอเข้าถึงข้อมูล คือสิทธิที่เจ้าของข้อมูลขอทราบว่าเว็บไซต์เก็บข้อมูลอะไรของตนบ้าง เช่น ลูกค้าปลายทางของ agency ขอดูว่าระบบ CRM เก็บเบอร์โทรและประวัติการติดต่ออะไรไว้บ้าง สิทธิขอแก้ไขข้อมูล คือกรณีข้อมูลผิดพลาดหรือล้าสมัย เช่น ที่อยู่จัดส่งเปลี่ยนแล้วแต่ระบบยังเป็นข้อมูลเก่า สิทธิขอลบหรือทำลายข้อมูล คือสิ่งที่คนคุ้นเคยที่สุด แต่ต้องแยกให้ชัดว่าข้อมูลบางส่วนอาจมีฐานกฎหมายอื่นรองรับให้เก็บต่อได้ เช่น ข้อมูลใบเสร็จที่ต้องเก็บตามกฎหมายภาษี

สิทธิขอคัดค้านการประมวลผล คือกรณีเจ้าของข้อมูลไม่เห็นด้วยกับการนำข้อมูลไปใช้ต่อ เช่น คัดค้านการถูกนำอีเมลไปใช้วิเคราะห์พฤติกรรมเพื่อทำโฆษณาเฉพาะบุคคล สิทธิขอระงับการใช้ข้อมูลชั่วคราว คือสิทธิที่ให้หยุดใช้ข้อมูลระหว่างที่ยังมีข้อโต้แย้งค้างอยู่ เช่น ระหว่างตรวจสอบว่าข้อมูลที่ลูกค้าอ้างว่าผิดนั้นผิดจริงหรือไม่ และสิทธิขอโอนย้ายข้อมูล คือสิทธิที่ให้เจ้าของข้อมูลขอสำเนาข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่องเพื่อนำไปใช้ที่อื่น เช่น ลูกค้าของ agency ที่ต้องการย้ายระบบสมาชิกเว็บไซต์ไปแพลตฟอร์มใหม่

ทำไมการถอนความยินยอมไม่ใช่หัวใจของบทความนี้

การถอนความยินยอมเป็นอีกกลไกหนึ่งที่เกี่ยวข้องกับความยินยอมโดยเฉพาะ เช่น การกดยกเลิกรับอีเมลการตลาด ซึ่งมักผูกกับ cookie banner หรือระบบ consent อยู่แล้ว บทความนี้เน้นภาพรวมของสิทธิทั้งหกแบบข้างต้นที่กว้างกว่านั้น หากต้องการรายละเอียดกลไกขอและถอนความยินยอมโดยเฉพาะ ทีมควรอ่านคู่มือ pdpa-consent แยกต่างหาก เพราะเป็นระบบคนละส่วนที่ต้องออกแบบแยกกันแม้จะเกี่ยวข้องกัน

ระบบรับคำขอ (Intake Channel) ที่ทีมเล็กสร้างได้จริง

เอเจนซีขนาดเล็กหรือฟรีแลนซ์ที่ทำงานคนเดียวไม่จำเป็นต้องมีระบบ ticket ซับซ้อน แต่ต้องมีช่องทางรับคำขอที่ชัดเจนอย่างน้อยหนึ่งช่องทาง เช่น อีเมลเฉพาะสำหรับคำขอใช้สิทธิ หรือแบบฟอร์มบนเว็บไซต์ที่แยกออกจากฟอร์มติดต่อทั่วไป สิ่งสำคัญคือคำขอต้องไม่ตกหล่นไปปนกับอีเมลงานทั่วไปจนไม่มีใครเห็น การตั้งค่าให้อีเมลคำขอสิทธิเด้งแจ้งเตือนทันทีและบันทึกวันที่ได้รับเข้าไปในระบบติดตามช่วยลดโอกาสที่คำขอจะถูกลืม

สัญญาณที่บ่งบอกว่าคำขอเข้ามาแล้วแต่ทีมยังไม่รู้

เอเจนซีจำนวนไม่น้อยมีคำขอใช้สิทธิซ่อนอยู่ในกล่องข้อความทั่วไปโดยไม่รู้ตัว เช่น ลูกค้าปลายทางส่งข้อความในแชทซัพพอร์ตว่า "ช่วยลบข้อมูลของฉันออกจากระบบด้วย" ซึ่งเป็นคำขอใช้สิทธิตามกฎหมายเต็มรูปแบบ แม้จะไม่ได้ใช้คำว่า "PDPA" หรือ "สิทธิ" เลยก็ตาม ทีมซัพพอร์ตควรได้รับการอบรมให้จับสัญญาณคำขอลักษณะนี้และส่งต่อเข้าสู่กระบวนการที่ถูกต้องทันที แทนที่จะตอบแบบ ticket ทั่วไปแล้วปิดเคสไปเฉย ๆ

การยืนยันตัวตนผู้ขอโดยไม่เก็บข้อมูลเกินจำเป็น

ก่อนดำเนินการตามคำขอ ทีมต้องมั่นใจว่าผู้ขอเป็นเจ้าของข้อมูลจริง ไม่ใช่คนอื่นที่แอบอ้าง แต่การยืนยันตัวตนไม่ควรถึงขั้นขอสำเนาบัตรประชาชนเต็มใบสำหรับทุกคำขอ เพราะเป็นการเก็บข้อมูลเพิ่มเกินความจำเป็น วิธีที่สมเหตุสมผลกว่าคือยืนยันผ่านช่องทางที่ผูกกับบัญชีเดิมอยู่แล้ว เช่น อีเมลที่ลงทะเบียนไว้ หรือรหัส OTP ที่ส่งไปยังเบอร์โทรที่ผูกบัญชี และเก็บระดับความเข้มงวดของการยืนยันให้สอดคล้องกับความอ่อนไหวของข้อมูลที่ขอ คำขอดูข้อมูลทั่วไปอาจยืนยันง่ายกว่าคำขอลบข้อมูลทางการเงิน

การจัดสรรงานภายในทีมเล็กเมื่อคำขอเข้ามา

เมื่อไม่มีตำแหน่ง Privacy เต็มเวลา เอเจนซีควรกำหนดให้คนหนึ่งคนเป็นเจ้าของกระบวนการรับผิดชอบภาพรวม แม้จะไม่ได้ลงมือทำทุกขั้นตอนเอง คนนี้มีหน้าที่รับคำขอเข้าสู่ระบบติดตาม ประสานงานกับนักพัฒนาที่ต้องเข้าไปดึงหรือแก้ไขข้อมูลจริงในฐานข้อมูล และตรวจสอบว่าทุกคำขอมีคำตอบก่อนครบกำหนดเวลา สำหรับฟรีแลนซ์ที่ทำงานคนเดียว การตั้งปฏิทินเตือนล่วงหน้าก่อนครบกำหนดหลายวันช่วยป้องกันการลืมได้มาก

เมื่อ Agency ดูแลเว็บไซต์ให้ลูกค้าหลายราย ใครเป็นเจ้าของคำขอ

สถานการณ์ที่ซับซ้อนกว่าคือเอเจนซีที่ดูแลเว็บไซต์ให้ลูกค้าหลายราย เพราะคำขอใช้สิทธิที่เข้ามาอาจเป็นคำขอจากผู้ใช้ปลายทางของเว็บไซต์ลูกค้า ไม่ใช่คำขอที่เกี่ยวกับข้อมูลของเอเจนซีเอง กรณีนี้เอเจนซีมักทำหน้าที่เป็นผู้ประมวลผลข้อมูลแทนลูกค้าซึ่งเป็นผู้ควบคุมข้อมูล สัญญาให้บริการระหว่างเอเจนซีกับลูกค้าจึงควรระบุให้ชัดว่าเมื่อมีคำขอใช้สิทธิเข้ามาที่เอเจนซีโดยตรง เอเจนซีต้องส่งต่อให้ลูกค้าทราบภายในกี่วัน และใครเป็นผู้ตัดสินใจขั้นสุดท้ายว่าจะดำเนินการอย่างไรกับข้อมูลนั้น เพื่อไม่ให้เกิดความสับสนว่าใครต้องตอบเมื่อกรอบเวลาใกล้หมด

กรอบเวลาตามกฎหมายที่ต้องติดตาม

คำขอใช้สิทธิแต่ละประเภทมีกรอบเวลาที่ต้องตอบกลับตามที่กฎหมายกำหนด การไม่มีระบบติดตามวันครบกำหนดทำให้ทีมพลาดกรอบเวลาได้ง่ายโดยเฉพาะเมื่อมีคำขอหลายรายการพร้อมกัน วิธีที่ทำได้จริงสำหรับทีมเล็กคือใช้สเปรดชีตหรือระบบติดตามงานที่มีอยู่แล้ว บันทึกวันที่ได้รับคำขอ ประเภทสิทธิที่ขอ วันครบกำหนดตอบกลับ และสถานะปัจจุบัน แล้วตรวจทุกสัปดาห์ว่ามีรายการใดใกล้ครบกำหนดบ้าง

เมื่อข้อมูลกระจายอยู่หลายระบบ การรวบรวมคำตอบใช้เวลานานกว่าที่คิด

เว็บไซต์ของลูกค้าเอเจนซีมักไม่ได้เก็บข้อมูลไว้ในที่เดียว ข้อมูลผู้ใช้อาจอยู่ในฐานข้อมูลหลักของเว็บไซต์ ระบบอีเมลการตลาดแยกต่างหาก เครื่องมือวิเคราะห์พฤติกรรมของบุคคลที่สาม และระบบตะกร้าสินค้าที่เชื่อมกับผู้ให้บริการชำระเงิน เมื่อมีคำขอเข้าถึงหรือขอลบข้อมูล ทีมพัฒนาต้องไล่ตรวจทีละระบบว่าข้อมูลของผู้ขอกระจายอยู่ที่ใดบ้าง การมีแผนผังคร่าว ๆ ว่าข้อมูลผู้ใช้ไหลไปที่ระบบใดบ้างไว้ล่วงหน้าช่วยให้ขั้นตอนนี้เร็วขึ้นมาก แทนที่จะต้องมานั่งไล่หาทีละระบบเมื่อคำขอเข้ามาแล้วและเวลาเหลือน้อยลงทุกวัน

เทมเพลตตอบกลับ และหลักฐานที่ควรเก็บ

เอเจนซีบางแห่งเลือกเขียนคำตอบใหม่ทุกครั้งที่มีคำขอเข้ามา ซึ่งทำให้แต่ละคำตอบมีคุณภาพไม่สม่ำเสมอ และเสี่ยงต่อการลืมระบุข้อมูลสำคัญ เช่น กรอบเวลาที่ใช้ในการดำเนินการ หรือช่องทางติดต่อกลับหากผู้ขอไม่พอใจ การมีเทมเพลตตอบกลับสำหรับแต่ละสิทธิช่วยให้ทีมตอบได้เร็วและสม่ำเสมอ โดยเทมเพลตควรระบุว่าดำเนินการอย่างไรกับคำขอ มีข้อจำกัดใดบ้างหากมีฐานกฎหมายอื่นที่ยังต้องเก็บข้อมูลบางส่วนไว้ และช่องทางที่ผู้ขอสามารถติดต่อกลับได้หากไม่พอใจคำตอบ ส่วนหลักฐานที่ควรเก็บไว้ทุกครั้งคือบันทึกวันที่ได้รับคำขอ วิธียืนยันตัวตนที่ใช้ การดำเนินการที่ทำจริงในระบบ และวันที่ตอบกลับ เพื่อให้พิสูจน์ได้ภายหลังว่าคำขอถูกจัดการอย่างมีระบบ ไม่ใช่แค่ตอบด้วยปากเปล่าแล้วไม่มีหลักฐานใด ๆ เหลืออยู่

ความสัมพันธ์กับบทความอื่นในคลัสเตอร์เดียวกัน

คู่มือนี้เป็นภาพรวมของคลัสเตอร์สิทธิของเจ้าของข้อมูลส่วนบุคคลสำหรับเอเจนซีและฟรีแลนซ์ หากต้องการขั้นตอนวางระบบแบบละเอียด ดูได้ที่ วิธีวางระบบสิทธิของเจ้าของข้อมูลส่วนบุคคลสำหรับเอเจนซี สำหรับการตรวจสอบเป็นระยะดูได้ที่หน้า Audit Guide และก่อนรับงานลูกค้าใหม่แนะนำให้ใช้เช็กลิสต์ประกอบการเตรียมระบบ ส่วนสิ่งที่เปลี่ยนแปลงในปี 2026 สรุปไว้ในบทความอัปเดตความสดใหม่ของคลัสเตอร์นี้ และดูภาพรวมหัวข้ออื่นในหมวด Privacy Fundamentals เพิ่มเติมได้ที่ คลังความรู้ Privacy Fundamentals

ข้อผิดพลาดที่พบบ่อยเมื่อวางระบบสิทธิของเจ้าของข้อมูลส่วนบุคคล

• คิดว่าสิทธิเจ้าของข้อมูลมีแค่การลบข้อมูล ทั้งที่จริงมีถึงหกสิทธิที่ต้องรองรับ
• ปล่อยให้คำขอปนอยู่ในกล่องข้อความทั่วไปจนไม่มีใครเห็นหรือติดตาม
• ขอเอกสารยืนยันตัวตนเกินความจำเป็นจนกลายเป็นการเก็บข้อมูลเพิ่ม
• ไม่มีระบบติดตามวันครบกำหนดตอบกลับ ทำให้พลาดกรอบเวลาโดยไม่รู้ตัว
• ตอบกลับคำขอด้วยปากเปล่าโดยไม่บันทึกหลักฐานการดำเนินการไว้

สรุป

สิทธิของเจ้าของข้อมูลส่วนบุคคลสำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์ครอบคลุมหกสิทธิที่ต้องรองรับให้ครบ ไม่ใช่แค่การลบข้อมูล ทีมควรมีช่องทางรับคำขอที่ชัดเจน วิธียืนยันตัวตนที่พอดีกับความอ่อนไหวของข้อมูล ระบบติดตามกรอบเวลา และหลักฐานที่พิสูจน์ได้ว่าจัดการคำขอแล้วจริง คู่มือเชิงลึกแต่ละหัวข้อในคลัสเตอร์นี้จะช่วยให้ทีมลงมือทำได้ทีละขั้นตอน

แหล่งข้อมูลอ้างอิง

แนวทางเรื่องสิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมายไทย ควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง คู่มือนี้เป็นแนวทางเชิงปฏิบัติสำหรับทีมเอเจนซีและฟรีแลนซ์ ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล