กฎ PDPA ใหม่: องค์กรต้องตอบคำขอสำเนาข้อมูลภายใน 30 วัน พร้อมแนวทางจัดการความเสี่ยงธุรกิจข้ามชาติ

ข่าวต้นเรื่อง: "กฎใหม่ PDPA ประชาชนขอสำเนาข้อมูลส่วนบุคคลได้ องค์กรต้องตอบภายใน 30 วัน ลงราชกิจจาฯแล้ว" (iT24Hrs by ปานระพี) · ค้นหาต้นฉบับ ต่อไปนี้เป็นบทวิเคราะห์ต้นฉบับที่ AI เรียบเรียงขึ้นโดยอ้างอิงข้อเท็จจริงที่ตรวจสอบจากรายงานข่าวจริง 3 แหล่ง (ไม่ใช่การแปลหรือคัดลอกต้นฉบับ) ดูแหล่งอ้างอิงท้ายบทความ

การประกาศใช้กฎระเบียบใหม่ในราชกิจจานุเบกษาได้กำหนดกรอบเวลา 30 วัน ให้หน่วยงานต้องตอบรับคำขอสำเนาข้อมูลส่วนบุคคล ซึ่งถือเป็นมาตรฐานปฏิบัติที่ทนายความและฝ่ายกฎหมายต้องเร่งปรับระบบภายในองค์กรทันที เพื่อป้องกันความเสี่ยงทางกฎหมายจากการผิดเงื่อนไขการคุ้มครองข้อมูลส่วนบุคคล (PDPA)

องค์กรไทยจำเป็นต้องทบทวนโครงสร้างการถือหุ้นและกระบวนการจัดการคำขออย่างเร่งด่วน เนื่องจากความล่าช้าหรือการตีความผิดอาจนำไปสู่ข้อพิพาทที่ซับซ้อน โดยเฉพาะประเด็นที่อาจถูกมองว่าเป็นการฝ่าฝืน พ.ร.บ.การประกอบธุรกิจของคนต่างด้าว หากไม่มีการจัดการที่ถูกต้องตามหลักกฎหมาย

ทำไมต้องปรับระบบทันที: กฎใหม่มีผลบังคับใช้แล้ว

การประกาศในราชกิจจานุเบกษาถือเป็นจุดเปลี่ยนสำคัญที่เปลี่ยนสถานะของกรอบเวลา 30 วันจากแนวทางปฏิบัติทั่วไปมาเป็นข้อบังคับทางกฎหมายที่องค์กรต้องปฏิบัติตามทันที โดยผลบังคับใช้จะเริ่มมีผลนับจากวันที่ประกาศในราชกิจจานุเบกษาเป็นระยะเวลา 60 วัน ซึ่งหมายความว่าองค์กรไม่สามารถอ้างความไม่พร้อมหรือใช้มาตรฐานเดิมได้อีกต่อไป

เพื่อให้สอดคล้องกับข้อกำหนดใหม่ องค์กรต้องปรับกระบวนการภายในให้สามารถตอบคำขอสำเนาข้อมูลส่วนบุคคลได้ภายในกรอบเวลาดังกล่าว หากมีเหตุผลจำเป็นที่อาจทำให้ไม่สามารถดำเนินการเสร็จสิ้นได้ภายใน 30 วัน กฎหมายเปิดช่องให้ขยายระยะเวลาได้ แต่มีเงื่อนไขสำคัญคือต้องแจ้งเหตุผลดังกล่าวให้เจ้าของข้อมูลทราบอย่างชัดเจน การละเลยขั้นตอนการแจ้งนี้ถือเป็นความผิดทางกฎหมาย

กรอบเวลา 30 วันเป็นข้อบังคับที่เริ่มมีผลบังคับใช้หลังประกาศในราชกิจจานุเบกษา 60 วัน
กรณีขยายเวลาต้องแจ้งเหตุผลให้เจ้าของข้อมูลทราบภายในกรอบเวลาที่กำหนด
องค์กรต้องเตรียมระบบรองรับการตอบคำขอที่อาจเพิ่มขึ้นทันทีเมื่อกฎใหม่มีผลบังคับใช้

สาระสำคัญ: กรอบเวลา 30 วันและข้อยกเว้นที่กฎหมายกำหนด

กรอบเวลา 30 วันและข้อยกเว้นตามกฎหมาย

ภายใต้กฎระเบียบใหม่นี้ หน่วยงานผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องดำเนินการตอบรับคำขอสำเนาข้อมูลให้แล้วเสร็จภายในกรอบเวลา 30 วัน นับจากวันที่ได้รับคำขอ หากมีกรณีพิเศษที่ปริมาณข้อมูลมีจำนวนมากหรือมีเหตุจำเป็นอื่นที่ไม่อาจหลีกเลี่ยงได้ กฎหมายอนุญาตให้ขยายระยะเวลาออกไปได้อีกไม่เกิน 30 วัน แต่มีเงื่อนไขบังคับว่าต้องแจ้งเหตุผลของการขยายเวลาให้เจ้าของข้อมูลทราบอย่างชัดเจน เพื่อรักษาความโปร่งใสในกระบวนการ

เงื่อนไขการเรียกเก็บค่าธรรมเนียมและการบันทึกหลักฐาน

ในประเด็นด้านค่าใช้จ่าย หากหน่วยงานเลือกที่จะส่งมอบข้อมูลผ่านช่องทางอิเล็กทรอนิกส์และไม่มีการเกิดค่าใช้จ่ายเพิ่มเติมในการดำเนินการ หน่วยงานจะไม่สามารถเรียกเก็บค่าธรรมเนียมใด ๆ จากเจ้าของข้อมูลได้ นอกจากนี้ ในกรณีที่หน่วยงานปฏิเสธคำขอหรือพบว่ามีเอกสารไม่ครบถ้วน จะต้องดำเนินการตามขั้นตอนที่กฎหมายกำหนดอย่างเคร่งครัด โดยหากเอกสารไม่ครบถ้วน หน่วยงานมีหน้าที่กำหนดระยะเวลาอย่างน้อย 10 วัน เพื่อให้ผู้ขอได้ดำเนินการแก้ไขหรือเพิ่มเติมเอกสารให้สมบูรณ์

การบันทึกข้อมูล: หน่วยงานต้องจัดเก็บหลักฐานที่เกี่ยวข้องกับกระบวนการทั้งหมด เช่น การรับคำขอ ขั้นตอนการดำเนินการ และเหตุผลในการปฏิเสธ (ถ้ามี) ไว้เป็นระยะเวลาอย่างน้อย 2 ปี
การแจ้งเหตุผล: ในกรณีปฏิเสธคำขอ หน่วยงานต้องแจ้งเหตุผลประกอบให้ชัดเจนและบันทึกข้อมูลดังกล่าวไว้ตามระยะเวลาที่กำหนด
การขยายเวลา: การขยายเวลาต้องทำเฉพาะเมื่อมีเหตุผลอันสมควรและต้องมีการสื่อสารเหตุผลดังกล่าวไปยังผู้ขอข้อมูลโดยตรง

ผลกระทบเชิงปฏิบัติ: การปรับกระบวนการภายในองค์กร

การปรับกระบวนการภายในองค์กรภายใต้กฎ PDPA ใหม่ ต้องให้ความสำคัญกับการทบทวนโครงสร้างการถือหุ้นและกลไกการตอบรับคำขออย่างเร่งด่วน เพื่อป้องกันความเสี่ยงจากการตีความว่าเป็นการฝ่าฝืนกฎหมายธุรกิจข้ามชาติ โดยเฉพาะเมื่อมีการเชื่อมโยงข้อมูลระหว่างประเทศ

องค์กรควรดำเนินการดังนี้:

ทบทวนโครงสร้างการถือหุ้นและอำนาจตัดสินใจในบริบทธุรกิจข้ามชาติ เพื่อความสอดคล้องกับหลักเกณฑ์การคุ้มครองข้อมูลส่วนบุคคล
จัดตั้งทีมเฉพาะกิจเพื่อตรวจสอบและปรับปรุงขั้นตอนการตอบรับคำขอสำเนาข้อมูลภายในกรอบเวลา 30 วัน
กำหนดแนวทางปฏิบัติสำหรับกรณีที่ยื่นคำขอไม่สมบูรณ์ โดยต้องกำหนดระยะเวลาให้แก้ไขเอกสารภายใน 10 วันขึ้นไป
สร้างระบบบันทึกหลักฐานการรับคำขอ กระบวนการพิจารณา และเหตุผลในการปฏิเสธ (หากมี) ให้ครบถ้วนตามข้อกำหนดการเก็บรักษาอย่างน้อย 2 ปี

สิ่งที่ต้องตรวจสอบ: เอกสารหลักฐานและการบันทึกข้อมูล

แนวปฏิบัติในการขอเอกสารเพิ่มเติมและการบันทึกเหตุผลในการปฏิเสธคำขอ

ในกรณีที่เอกสารคำขอหรือหลักฐานประกอบการยืนยันตัวตนมีความไม่สมบูรณ์ หน่วยงานในฐานะผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องกำหนดระยะเวลาให้ผู้ยื่นคำขอแก้ไขหรือเพิ่มเติมเอกสาร โดยต้องให้ระยะเวลาอย่างน้อย 10 วัน เพื่อให้ผู้ยื่นสามารถดำเนินการให้ครบถ้วนได้ ซึ่งกระบวนการนี้ถือเป็นขั้นตอนสำคัญในการยืนยันความถูกต้องของคำขอก่อนเข้าสู่ขั้นตอนการพิจารณาตามกรอบเวลา 30 วัน

สำหรับการปฏิเสธคำขอ หน่วยงานต้องดำเนินการอย่างโปร่งใสและตรวจสอบได้ โดยต้องแจ้งเหตุผลของการปฏิเสธให้ชัดเจนแก่ผู้ยื่นคำขอทันที พร้อมกันนี้ต้องมีการบันทึกข้อมูลทั้งข้อเท็จจริงและเหตุผลทางกฎหมายที่ใช้ประกอบการตัดสินใจลงในระบบบันทึกข้อมูล เพื่อใช้เป็นหลักฐานในการชี้แจงต่อหน่วยงานกำกับดูแลหรือในกรณีที่มีข้อพิพาทเกิดขึ้น

การเก็บรักษาหลักฐานทางกฎหมายอย่างน้อย 2 ปี

เพื่อให้สอดคล้องกับข้อกำหนดในการตรวจสอบย้อนหลัง หน่วยงานต้องจัดเก็บข้อมูลบันทึกที่เกี่ยวข้องกับกระบวนการจัดการคำขอทั้งหมดไว้เป็นระยะเวลาอย่างน้อย 2 ปี ข้อมูลที่ต้องเก็บรักษาประกอบด้วย:

บันทึกการรับคำขอและรายละเอียดของผู้ยื่น
ขั้นตอนและระยะเวลาที่ใช้ในการดำเนินการ
เหตุผลและข้อกฎหมายที่ใช้ประกอบการตัดสินใจปฏิเสธ (กรณีมี)
เอกสารหลักฐานการติดต่อสื่อสารกับผู้ยื่นคำขอ

การรักษาระบบบันทึกข้อมูลเหล่านี้ให้ครบถ้วนตามมาตรฐานที่กำหนด จะช่วยสร้างความมั่นใจทางกฎหมายและลดความเสี่ยงจากการถูกตรวจสอบหรือฟ้องร้องในประเด็นการละเมิดสิทธิในการเข้าถึงข้อมูลส่วนบุคคล

คำถามที่พบบ่อย

องค์กรต้องตอบคำขอสำเนาข้อมูลส่วนบุคคลภายในกี่วัน และขยายเวลาได้หรือไม่

องค์กรต้องดำเนินการให้เสร็จสิ้นภายใน 30 วันนับจากวันที่รับคำขอ หากมีปริมาณข้อมูลมากหรือมีเหตุจำเป็น สามารถขยายเวลาได้อีก 30 วันโดยต้องแจ้งเหตุผลให้ผู้ร้องขอทราบ

องค์กรสามารถเรียกเก็บค่าธรรมเนียมในการส่งสำเนาข้อมูลได้หรือไม่

หากจัดให้ข้อมูลผ่านช่องทางอิเล็กทรอนิกส์และไม่เกิดค่าใช้จ่ายเพิ่มเติม องค์กรห้ามเรียกเก็บค่าธรรมเนียมใดๆ จากผู้ร้องขอ

หากองค์กรปฏิเสธคำขอ ต้องดำเนินการอย่างไรกับหลักฐานการปฏิเสธ

องค์กรต้องแจ้งเหตุผลของการปฏิเสธให้ผู้ร้องขอทราบ และต้องบันทึกข้อมูลการปฏิเสธพร้อมเหตุผลไว้เป็นลายลักษณ์อักษรอย่างน้อย 2 ปี