สิทธิเจ้าของข้อมูล PDPA: รับมือคำขอลบและขอสำเนาข้อมูล

บทความนี้เป็นข้อมูลทั่วไป ไม่ใช่คำปรึกษาทางกฎหมาย เงื่อนไขและข้อยกเว้นแต่ละสิทธิมีรายละเอียดเฉพาะ โปรดตรวจตัวบทและแนวปฏิบัติจาก สคส.

วันหนึ่งลูกค้าอาจทักมาว่า "ขอให้ลบข้อมูลของฉันออกจากร้าน" หรือ "ร้านเก็บข้อมูลอะไรของฉันไว้บ้าง ขอดูหน่อย" ถ้าร้านไม่เคยเตรียมตัว คำขอแบบนี้อาจทำให้ตกใจ แต่จริง ๆ แล้วเป็นสิทธิเจ้าของข้อมูลที่ PDPA รับรองไว้ และจัดการได้ไม่ยากถ้ามีขั้นตอนชัดเจน บทความนี้สรุปสิทธิที่ลูกค้ามี ขั้นตอนรับคำขอ และตัวอย่างการตอบ

สิทธิเจ้าของข้อมูลตาม PDPA มีอะไรบ้าง

ตัวบทฉบับเต็มดูได้จาก ราชกิจจานุเบกษา

ขั้นตอนรับมือคำขอ 6 ขั้น

1. รับคำขอผ่านช่องทางที่ชัดเจน

ประกาศความเป็นส่วนตัวของร้านควรบอกว่าลูกค้ายื่นคำขอได้ทางไหน เช่น หน้าข้อมูลการจอง LINE OA หรืออีเมลร้าน และควรมีคนรับผิดชอบที่ชัดเจน ไม่ปล่อยให้ข้อความตกหล่นในแชท

2. ยืนยันตัวตน

ก่อนส่งข้อมูลหรือลบ ต้องแน่ใจว่าผู้ขอคือเจ้าของข้อมูลจริง ไม่ใช่คนอื่นที่แอบอ้าง วิธีที่ใช้ได้ เช่น ให้ยื่นผ่านช่องทางที่ผูกกับตัวลูกค้า อย่างลิงก์จัดการการจองที่ส่งให้ลูกค้าเท่านั้น หรือยืนยันผ่านบัญชี LINE ที่ใช้จอง

3. บันทึกวันที่ได้รับคำขอ

นับเวลาจากวันที่ได้รับคำขอ สำหรับการขอเข้าถึงและขอรับสำเนา PDPA กำหนดให้ดำเนินการภายใน 30 วัน เป็นแนวปฏิบัติที่ดีที่จะใช้กรอบเดียวกันกับคำขออื่น

4. ตรวจว่ามีเหตุต้องเก็บต่อหรือไม่

บางข้อมูลร้านอาจมีหน้าที่ต้องเก็บต่อ เช่น เอกสารบัญชีและภาษี หรือข้อมูลที่จำเป็นต่อการใช้สิทธิเรียกร้องตามกฎหมาย ในกรณีนี้ร้านลบส่วนอื่นได้ แต่เก็บส่วนที่มีหน้าที่ตามกฎหมาย และแจ้งเหตุผลให้ลูกค้าทราบ

5. ดำเนินการและแจ้งผล

• ขอสำเนา: ส่งไฟล์ที่อ่านเข้าใจได้ ครอบคลุมข้อมูลที่ร้านเก็บ
• ขอลบ: ลบหรือทำให้ไม่ระบุตัวตน รวมถึงข้อมูลที่อยู่นอกระบบหลัก เช่น ไฟล์ Excel หรือแชทเก่า
• ขอแก้ไข: แก้แล้วแจ้งกลับ
• ปฏิเสธ: ทำได้เมื่อมีเหตุตามกฎหมาย และควรแจ้งเหตุผลเป็นลายลักษณ์อักษร

6. เก็บบันทึก

บันทึกว่าได้รับคำขอเมื่อไร ใครดำเนินการ ผลเป็นอย่างไร เพื่อใช้แสดงว่าร้านปฏิบัติตามแล้วหากมีข้อสงสัยภายหลัง

ทำให้ไม่ระบุตัวตน ต่างจากลบทิ้งอย่างไร

การลบข้อมูลทั้งแถวอาจทำให้รายงานยอดขายย้อนหลังผิดเพี้ยน ทางเลือกที่นิยมคือ ทำให้ไม่ระบุตัวตน คือแทนชื่อ เบอร์โทร อีเมล LINE และข้อมูลในแบบฟอร์มด้วยค่าที่ย้อนกลับไม่ได้ แต่คงจำนวนการจอง รายได้ และระยะเวลาไว้เพื่อสถิติ วิธีนี้ทำให้ลูกค้าไม่ถูกระบุตัวได้อีก ขณะที่ร้านยังเห็นภาพรวมธุรกิจได้

ตัวอย่าง: ลูกค้าขอลบข้อมูลหลังย้ายบ้าน

ตัวอย่าง ลูกค้าร้านอาบน้ำสัตว์ย้ายไปต่างจังหวัดและขอให้ลบข้อมูลทั้งหมด รวมถึงชื่อและข้อมูลสุนัข

1. ลูกค้ากดขอลบข้อมูลจากหน้าการจองของตัวเอง
2. ผู้จัดการร้านเห็นคำขอในรายการคำขอข้อมูล พร้อมวันครบกำหนด
3. ร้านตรวจว่าไม่มีมัดจำค้างคืน และไม่มีเอกสารภาษีที่ต้องเก็บในนามลูกค้า
4. ร้านอนุมัติ ระบบทำให้ข้อมูลส่วนบุคคลและข้อมูลสัตว์เลี้ยงไม่ระบุตัวตน
5. ร้านลบรูปสุนัขที่เคยบันทึกไว้ในโทรศัพท์ของช่าง และแจ้งลูกค้าว่าดำเนินการแล้ว

ทั้งหมดใช้เวลาไม่นาน แต่มีขั้นตอนที่ตรวจสอบย้อนหลังได้

NadQ ช่วยรับมือคำขออย่างไร

• ลูกค้าเปิดหน้าการจองของตัวเองแล้วเลือก ขอสำเนาข้อมูล หรือ ขอลบข้อมูล ได้ในส่วน "ข้อมูลส่วนบุคคลของฉัน (PDPA)" หน้าประกาศความเป็นส่วนตัวของร้านก็อธิบายช่องทางนี้ไว้
• คำขอเข้าไปที่เมนู ความเป็นส่วนตัว ในระบบหลังร้าน แสดงวันที่ขอ สถานะ และเตือนว่าต้องดำเนินการภายใน 30 วันตาม PDPA ถ้าร้านยังไม่ตอบภายใน 20 วัน ระบบจะเตือนซ้ำ
• ร้านอนุมัติหรือปฏิเสธพร้อมเหตุผลได้ คำขอสำเนาได้ไฟล์ JSON ส่วนคำขอลบใช้การทำให้ไม่ระบุตัวตน โดยสถิติยังอยู่
• ในหน้ารายละเอียดลูกค้า ร้านบันทึกคำขอลบแทนลูกค้าที่ติดต่อผ่านช่องทางอื่นได้ ระบบลบชื่อ เบอร์ อีเมล บันทึก และข้อมูลย่อยภายใน 30 วัน
• ข้อความชวนกลับมาใช้บริการมีลิงก์ให้ลูกค้าหยุดรับได้เอง ตรงกับสิทธิคัดค้านและถอนความยินยอม

ในฐานะผู้ประมวลผล NadQ ทำตามคำสั่งของร้าน ร้านยังเป็นผู้ตัดสินใจอนุมัติคำขอ อ่านเรื่องบทบาทได้ใน ผู้ควบคุมข้อมูล vs ผู้ประมวลผล

เช็กลิสต์

• ระบุช่องทางยื่นคำขอในประกาศความเป็นส่วนตัว
• กำหนดผู้รับผิดชอบและผู้สำรอง
• มีวิธียืนยันตัวตนที่ไม่เก็บข้อมูลเพิ่มเกินจำเป็น
• รู้ว่าข้อมูลลูกค้าอยู่ที่ไหนบ้าง รวมถึงนอกระบบ
• ตั้งเตือนให้ตอบภายในกรอบเวลา
• เก็บบันทึกทุกคำขอ

สรุป

สิทธิเจ้าของข้อมูลเป็นเรื่องปกติของธุรกิจที่เก็บข้อมูลลูกค้า ไม่ใช่เรื่องต้องกลัว ร้านที่มีช่องทางรับคำขอ ขั้นตอนยืนยันตัวตน และระบบที่ช่วยนับเวลา จะตอบลูกค้าได้รวดเร็วและสร้างความเชื่อใจได้มากกว่า อ่านภาพรวมหน้าที่ของร้านใน PDPA ร้านบริการ

ลองดูเมนูความเป็นส่วนตัวของ NadQ ได้ในร้านทดลองของคุณ