สิทธิของเจ้าของข้อมูลส่วนบุคคล คืออะไร? คู่มือสำหรับเว็บไซต์ธุรกิจทั่วไปและ SME

ถ้าวันนี้มีอีเมลจากลูกค้าคนหนึ่งเขียนมาว่า "ขอให้ลบข้อมูลของฉันออกจากระบบทั้งหมด" เว็บไซต์ SME ส่วนใหญ่จะตอบคำถามนี้ไม่ได้ภายในเวลาที่ควร เพราะไม่มีช่องทางรับคำขอที่ชัดเจน ไม่มีคนรับผิดชอบตรวจสอบว่าใครควรเป็นผู้อนุมัติ และไม่มีวิธียืนยันว่าคนที่ส่งอีเมลมาคือเจ้าของข้อมูลจริงหรือไม่ ปัญหานี้ไม่ใช่เรื่องกฎหมายเพียงอย่างเดียว แต่เป็นปัญหาการปฏิบัติงานที่ต้องมีระบบรองรับตั้งแต่วันที่คำขอแรกเข้ามา

คู่มือนี้อธิบายสิทธิของเจ้าของข้อมูลส่วนบุคคลทั้งหกด้านที่เว็บไซต์ธุรกิจทั่วไปและ SME ต้องรองรับ พร้อมโครงสร้างระบบที่ใช้รับคำขอ ยืนยันตัวตน ส่งต่อภายในองค์กร ติดตามกำหนดเวลา และเก็บหลักฐานการตอบกลับ เพื่อให้เจ้าของกิจการและผู้ดูแลเว็บไซต์ตอบคำถามได้ว่า ถ้าคำขอใช้สิทธิเข้ามาวันนี้ เรามีระบบตอบสนองจริงหรือไม่ และพิสูจน์ได้หรือไม่ว่าจัดการอย่างถูกต้อง

สิทธิของเจ้าของข้อมูลส่วนบุคคลคือชุดสิทธิที่บุคคลใช้เรียกร้องต่อองค์กรเกี่ยวกับข้อมูลของตนเอง ได้แก่ สิทธิขอเข้าถึงข้อมูล สิทธิขอแก้ไขให้ถูกต้อง สิทธิขอให้ลบหรือทำลาย สิทธิคัดค้านการประมวลผล สิทธิขอให้ระงับการใช้ข้อมูลชั่วคราว และสิทธิขอรับหรือโอนย้ายข้อมูล เว็บไซต์ SME ต้องมีช่องทางรับคำขอ ขั้นตอนยืนยันตัวตน การส่งต่อให้ผู้รับผิดชอบ และการตอบกลับภายในกรอบเวลาที่กฎหมายกำหนด พร้อมเก็บหลักฐานการดำเนินการทุกขั้นตอนไว้ตรวจสอบย้อนหลังได้

สิทธิของเจ้าของข้อมูลส่วนบุคคลคืออะไร และทำไม SME ต้องมีระบบรองรับ

สิทธิของเจ้าของข้อมูลส่วนบุคคลคือสิทธิที่กฎหมายให้ไว้กับบุคคลในการควบคุมข้อมูลของตนเองที่องค์กรอื่นถือครองอยู่ ต่างจากฐานกฎหมายในการประมวลผลข้อมูลซึ่งเป็นเรื่องที่องค์กรต้องพิสูจน์ว่ามีสิทธิเก็บข้อมูลตั้งแต่แรก สิทธิของเจ้าของข้อมูลเป็นมุมกลับที่เจ้าของข้อมูลเป็นฝ่ายเรียกร้องเข้ามา และองค์กรมีหน้าที่ต้องตอบสนองภายในกรอบเวลาที่กำหนด ไม่ใช่แค่มีนโยบายรองรับไว้เฉย ๆ

ความเสี่ยงเมื่อเว็บไซต์ไม่มีระบบรองรับคำขอใช้สิทธิ

ร้านค้าออนไลน์ขนาดกลางแห่งหนึ่งเคยได้รับคำขอลบข้อมูลจากลูกค้าผ่านกล่องข้อความ Facebook เพจ แอดมินตอบรับปากเปล่าว่าจะลบให้ แต่ไม่มีการบันทึกคำขอในระบบใด ๆ สามเดือนต่อมาลูกค้าคนเดิมพบว่าอีเมลของตนยังอยู่ในรายชื่อส่งโปรโมชัน เพราะทีมการตลาดใช้ฐานข้อมูลคนละชุดกับที่แอดมินเข้าใจว่าลบไปแล้ว กรณีแบบนี้เกิดขึ้นบ่อยเมื่อธุรกิจไม่มีช่องทางรับคำขอที่รวมศูนย์ ไม่มีคนรับผิดชอบชัดเจน และไม่มีหลักฐานว่าคำขอถูกดำเนินการจริง

สิทธิทั้งหกด้านที่เว็บไซต์ SME ต้องรองรับ

สิทธิขอเข้าถึงข้อมูล (right to access) คือสิทธิที่เจ้าของข้อมูลขอทราบว่าองค์กรเก็บข้อมูลอะไรของตนไว้บ้างและนำไปใช้อย่างไร สิทธิขอแก้ไขให้ถูกต้อง (right to rectification) ใช้เมื่อข้อมูลที่องค์กรเก็บไว้ผิดพลาดหรือล้าสมัย เช่น ที่อยู่จัดส่งเก่าที่ไม่ได้อัปเดต สิทธิขอให้ลบหรือทำลายข้อมูล (right to erasure) มักถูกเรียกว่า right to be forgotten เป็นสิทธิที่คนทั่วไปคุ้นเคยที่สุดแต่ก็เป็นสิทธิที่ทำได้ยากที่สุดในทางปฏิบัติ เพราะข้อมูลกระจายอยู่หลายระบบ

สิทธิคัดค้านการประมวลผล (right to object) ใช้เมื่อเจ้าของข้อมูลไม่ต้องการให้นำข้อมูลไปใช้ในบางวัตถุประสงค์ เช่น การวิเคราะห์พฤติกรรมเพื่อทำโฆษณาเฉพาะบุคคล สิทธิขอให้ระงับการใช้ข้อมูลชั่วคราว (right to restriction) ใช้ในกรณีที่มีข้อโต้แย้งเรื่องความถูกต้องของข้อมูลระหว่างรอการตรวจสอบ และสิทธิขอรับหรือโอนย้ายข้อมูล (right to data portability) คือสิทธิขอให้ส่งข้อมูลของตนในรูปแบบที่อ่านได้ด้วยเครื่องเพื่อนำไปใช้กับผู้ให้บริการรายอื่น ทั้งหกสิทธินี้ต้องมีช่องทางรองรับพร้อมกัน ไม่ใช่เลือกรองรับเฉพาะสิทธิที่ทำง่ายที่สุด

สิทธิถอนความยินยอมอยู่ตรงไหนของภาพนี้

สิทธิถอนความยินยอมเป็นสิทธิที่เกี่ยวข้องกับกลไก consent โดยเฉพาะ และเป็นหนึ่งในสิทธิที่เจ้าของข้อมูลอาจใช้ได้เช่นกัน แต่คู่มือนี้ไม่ได้เจาะรายละเอียดกลไกการถอนความยินยอมเป็นหลัก เพราะเป็นหัวข้อเฉพาะของกลไก consent ที่มีคู่มือแยกต่างหาก สิ่งที่ระบบรับคำขอในคู่มือนี้ต้องรองรับคือคำขอถอนความยินยอมในฐานะคำขอประเภทหนึ่งที่ต้องมีช่องทางรับและติดตามเช่นเดียวกับสิทธิอีกห้าด้าน ไม่ใช่แยกเป็นระบบคนละชุด

ตัวอย่างจากธุรกิจ SME แต่ละประเภท

ร้านอาหารที่มีระบบสั่งจองโต๊ะออนไลน์มักได้รับคำขอเข้าถึงข้อมูลบ่อยที่สุด เพราะลูกค้าต้องการทราบว่าเบอร์โทรและอีเมลที่เคยกรอกไว้ถูกเก็บไว้นานเท่าไร คลินิกความงามที่เก็บประวัติการรักษามักได้รับคำขอแก้ไขข้อมูลเมื่อรายละเอียดส่วนตัวเปลี่ยน เช่น เปลี่ยนชื่อหรือที่อยู่ ส่วนร้านค้าออนไลน์ที่ทำการตลาดผ่านอีเมลมักได้รับคำขอคัดค้านการประมวลผลเพื่อวัตถุประสงค์การตลาดมากที่สุด ธุรกิจแต่ละประเภทจึงควรประเมินว่าคำขอประเภทใดมีแนวโน้มเข้ามาบ่อยที่สุดในบริบทของตน และเตรียมแม่แบบตอบกลับสำหรับคำขอประเภทนั้นให้พร้อมก่อน

ระบบรับคำขอใช้สิทธิ ควรมีองค์ประกอบอะไรบ้าง

ระบบที่ใช้งานได้จริงต้องมีสี่ส่วนหลัก ส่วนแรกคือช่องทางรับคำขอ (intake channel) ที่ชัดเจนและเข้าถึงง่าย เช่น อีเมลเฉพาะสำหรับคำขอใช้สิทธิ หรือแบบฟอร์มบนเว็บไซต์ ไม่ใช่ปล่อยให้คำขอกระจายอยู่ตามกล่องข้อความโซเชียลมีเดียหรือแชทฝ่ายบริการลูกค้าทั่วไป ส่วนที่สองคือขั้นตอนยืนยันตัวตนก่อนดำเนินการ เพื่อป้องกันไม่ให้คนอื่นสวมรอยขอข้อมูลหรือขอลบข้อมูลของบุคคลอื่น ส่วนที่สามคือเส้นทางส่งต่อภายในองค์กร (routing) ที่ระบุชัดว่าใครเป็นผู้พิจารณาอนุมัติและใครเป็นผู้ดำเนินการจริงในแต่ละระบบ และส่วนที่สี่คือแม่แบบการตอบกลับ (response template) ที่ทำให้การตอบคำขอแต่ละครั้งมีมาตรฐานเดียวกัน ไม่ต้องเริ่มเขียนใหม่ทุกครั้ง

การยืนยันตัวตนโดยไม่เก็บข้อมูลเกินความจำเป็น

จุดที่ SME มักทำผิดคือขอเอกสารยืนยันตัวตนมากเกินความจำเป็น เช่น ขอสำเนาบัตรประชาชนเต็มใบสำหรับคำขอที่มีความเสี่ยงต่ำอย่างการขอดูข้อมูลทั่วไป วิธีที่เหมาะสมกว่าคือใช้ข้อมูลที่มีอยู่แล้วในระบบเป็นตัวยืนยัน เช่น ให้ตอบคำถามยืนยันจากอีเมลที่ลงทะเบียนไว้ หรือส่งรหัสยืนยันไปยังช่องทางที่เคยใช้สมัครสมาชิก และเพิ่มระดับการยืนยันตัวตนตามความเสี่ยงของคำขอ คำขอลบข้อมูลทั้งหมดควรมีการยืนยันเข้มงวดกว่าคำขอดูข้อมูลทั่วไป

กรอบเวลาตามกฎหมายและการติดตามกำหนดเวลา

คำขอใช้สิทธิแต่ละคำขอมีกรอบเวลาที่องค์กรต้องตอบกลับ ซึ่งควรตรวจสอบกรอบเวลาที่แน่นอนกับประกาศและแนวปฏิบัติของ PDPC เป็นระยะเพราะรายละเอียดอาจปรับปรุงได้ สิ่งที่ SME ควรทำในทางปฏิบัติคือมีระบบติดตามกำหนดเวลาที่นับถอยหลังตั้งแต่วันที่รับคำขอ ไม่ใช่นับจากวันที่เริ่มดำเนินการ เพราะคำขอที่ค้างอยู่ในกล่องอีเมลโดยไม่มีใครสังเกตเห็นเป็นสาเหตุที่พบบ่อยที่สุดที่ทำให้องค์กรตอบกลับล่าช้าเกินกำหนด

สำหรับ SME ที่มีพนักงานไม่กี่คน วิธีที่ทำได้จริงคือใช้สเปรดชีตติดตามคำขอหนึ่งแผ่นที่มีคอลัมน์วันที่รับคำขอ ประเภทสิทธิ กำหนดตอบกลับ สถานะดำเนินการ และวันที่ตอบกลับจริง แล้วตั้งการแจ้งเตือนล่วงหน้าก่อนถึงกำหนดสองสามวัน เพื่อให้มีเวลาตรวจสอบและยืนยันตัวตนให้เสร็จก่อนวันครบกำหนดจริง ไม่ใช่รอจนวันสุดท้ายแล้วค่อยเริ่มดำเนินการ ซึ่งมักทำให้ตอบกลับล่าช้าเมื่อข้อมูลกระจายอยู่หลายระบบมากกว่าที่คาดไว้

แม่แบบตอบกลับที่ควรมีอย่างน้อยสามแบบ

SME ที่เพิ่งเริ่มวางระบบไม่จำเป็นต้องมีแม่แบบตอบกลับครบทั้งหกสิทธิตั้งแต่วันแรก แต่ควรมีอย่างน้อยสามแบบที่ครอบคลุมคำขอที่พบบ่อยที่สุดก่อน คือ แม่แบบตอบรับคำขอเข้าถึงข้อมูลพร้อมสรุปข้อมูลที่มี แม่แบบตอบรับคำขอลบข้อมูลที่ระบุว่าลบส่วนใดได้ทันทีและส่วนใดต้องเก็บไว้ตามข้อผูกพันทางกฎหมายอื่น และแม่แบบตอบรับคำขอคัดค้านการประมวลผลเพื่อการตลาด แต่ละแม่แบบควรเขียนด้วยภาษาที่เข้าใจง่าย ไม่ใช้ศัพท์กฎหมายที่ลูกค้าทั่วไปอ่านไม่รู้เรื่อง และควรมีช่องให้กรอกรายละเอียดเฉพาะของแต่ละคำขอแทนการส่งข้อความเดียวกันทุกครั้งโดยไม่ปรับให้ตรงกับสถานการณ์จริง

เช็กลิสต์และการตรวจสอบเป็นระยะ

นอกจากวางระบบครั้งแรก SME ควรมีรอบตรวจสอบว่าระบบยังทำงานได้จริง เช่น ทดลองส่งคำขอจำลองเข้าไปในช่องทางที่ประกาศไว้แล้วดูว่าใครเป็นผู้รับและตอบสนองอย่างไร ตรวจสอบว่าทุกคำขอที่เคยได้รับมีบันทึกอยู่ในทะเบียนคำขอครบถ้วน และทบทวนว่าแม่แบบการตอบกลับยังสอดคล้องกับกระบวนการจริงหรือมีการเปลี่ยนแปลงระบบไปแล้วโดยไม่ได้อัปเดตแม่แบบตาม รายละเอียดขั้นตอนวางระบบแบบเต็มดูได้ที่ วิธีวางระบบรับคำขอใช้สิทธิสำหรับ SME และเช็กลิสต์ก่อนเปิดใช้งานช่องทางรับคำขอดูได้ที่ เช็กลิสต์สิทธิของเจ้าของข้อมูลส่วนบุคคลสำหรับ SME

ความสัมพันธ์กับบทความอื่นในคลัสเตอร์เดียวกัน

คู่มือนี้เป็นภาพรวมของคลัสเตอร์สิทธิของเจ้าของข้อมูลส่วนบุคคลสำหรับ SME หากต้องการขั้นตอน Audit ระบบรับคำขอแบบละเอียด ดูได้ที่ วิธี Audit สิทธิของเจ้าของข้อมูลส่วนบุคคลสำหรับ SME และสิ่งที่ต้องทบทวนเมื่อกฎเกณฑ์เปลี่ยนดูได้ที่ อัปเดตสิทธิของเจ้าของข้อมูลส่วนบุคคลปี 2026 หัวข้ออื่นในหมวด Privacy Fundamentals ดูเพิ่มเติมได้ที่ คลังความรู้ Privacy Fundamentals

ข้อผิดพลาดที่พบบ่อยเมื่อวางระบบรับคำขอใช้สิทธิ

• ปล่อยให้คำขอเข้ามาผ่านหลายช่องทางโดยไม่มีจุดรวมศูนย์เดียว
• ไม่มีขั้นตอนยืนยันตัวตนก่อนดำเนินการ หรือขอเอกสารมากเกินความจำเป็น
• ไม่มีคนรับผิดชอบชัดเจนว่าใครเป็นผู้อนุมัติและผู้ดำเนินการในแต่ละระบบ
• ไม่นับกำหนดเวลาตอบกลับตั้งแต่วันที่รับคำขอ ทำให้ตอบกลับล่าช้าโดยไม่รู้ตัว
• ไม่เก็บหลักฐานการดำเนินการ ทำให้พิสูจน์ไม่ได้ว่าคำขอถูกจัดการจริง
• สับสนระหว่างสิทธิถอนความยินยอมกับสิทธิอีกห้าด้าน ทำให้ออกแบบระบบไม่ครบ

สรุป

สิทธิของเจ้าของข้อมูลส่วนบุคคลมีหกด้านหลักที่เว็บไซต์ SME ต้องรองรับพร้อมกัน คือ เข้าถึง แก้ไข ลบ คัดค้าน ระงับชั่วคราว และโอนย้ายข้อมูล ระบบที่ใช้งานได้จริงต้องมีช่องทางรับคำขอที่รวมศูนย์ ขั้นตอนยืนยันตัวตนที่เหมาะสมกับความเสี่ยง เส้นทางส่งต่อภายในองค์กรที่ชัดเจน และการติดตามกำหนดเวลาพร้อมเก็บหลักฐานทุกขั้นตอน คู่มือเชิงลึกในคลัสเตอร์นี้จะช่วยให้ทีมลงมือวางระบบและตรวจสอบได้จริงทีละขั้น

แหล่งข้อมูลอ้างอิง

รายละเอียดสิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมายไทย ควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง คู่มือนี้เป็นแนวทางเชิงปฏิบัติสำหรับเจ้าของกิจการและผู้ดูแลเว็บไซต์ ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล