มาตรา 33
สารบัญในมาตรานี้
ตัวบท
มาตรา 33 เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ในกรณีดังต่อไปนี้
(1) เมื่อข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
(2) เมื่อเจ้าของข้อมูลส่วนบุคคลถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลและผู้ควบคุมข้อมูลส่วนบุคคลไม่มีอำนาจตามกฎหมายที่จะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นได้ต่อไป
(3) เมื่อเจ้าของข้อมูลส่วนบุคคลคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา 32 (1) และผู้ควบคุมข้อมูลส่วนบุคคลไม่อาจปฏิเสธคำขอตามมาตรา 32 (1) (ก) หรือ (ข) ได้ หรือเป็นการคัดค้านตามมาตรา 32 (2)
(4) เมื่อข้อมูลส่วนบุคคลได้ถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมายตามที่กำหนดไว้ในหมวดนี้
ความในวรรคหนึ่งมิให้นำมาใช้บังคับกับการเก็บรักษาไว้เพื่อวัตถุประสงค์ในการใช้เสรีภาพในการแสดงความคิดเห็น การเก็บรักษาไว้เพื่อวัตถุประสงค์ตามมาตรา 24 (1) หรือ (4) หรือมาตรา 26 (5) (ก) หรือ (ข) การใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลได้ทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่เปิดเผยต่อสาธารณะ และผู้ควบคุมข้อมูลส่วนบุคคลถูกขอให้ลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องเป็นผู้รับผิดชอบดำเนินการทั้งในทางเทคโนโลยีและค่าใช้จ่ายเพื่อให้เป็นไปตามคำขอนั้น โดยแจ้งผู้ควบคุมข้อมูลส่วนบุคคลอื่น ๆ เพื่อให้ได้รับคำตอบในการดำเนินการให้เป็นไปตามคำขอ
กรณีผู้ควบคุมข้อมูลส่วนบุคคลไม่ดำเนินการตามวรรคหนึ่งหรือวรรคสาม เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการได้
คณะกรรมการอาจประกาศกำหนดหลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลตามวรรคหนึ่งก็ได้
สรุป
มาตรานี้ให้ สิทธิให้ลบ ทำลาย หรือทำให้ระบุตัวบุคคลไม่ได้ ใน 4 กรณี: หมดความจำเป็น, ถอนความยินยอม, คัดค้านสำเร็จ, หรือเก็บโดยไม่ชอบด้วยกฎหมาย โดยมีข้อยกเว้นสำคัญหากเก็บเพื่อเสรีภาพแสดงความคิดเห็น/วัตถุประสงค์ตาม มาตรา 24/มาตรา 26 บางประการ/หรือเพื่อสิทธิเรียกร้องตามกฎหมาย กรณีข้อมูลที่เปิดเผยสาธารณะ ผู้ควบคุมต้องรับผิดชอบทั้งทางเทคนิคและค่าใช้จ่ายและแจ้งผู้ควบคุมรายอื่น
องค์ประกอบสำคัญ
- 4 กรณีที่ขอให้ลบได้ (วรรค 1):
- 3 รูปแบบของการดำเนินการ:
- ลบ — ลบข้อมูลออกจากระบบ
- ทำลาย — ทำลายเอกสารกระดาษหรือสื่อบันทึกที่จับต้องได้
- ทำให้ไม่ระบุตัวบุคคลได้ — แปลงข้อมูลให้ไม่สามารถเชื่อมโยงกลับไปถึงบุคคลใดบุคคลหนึ่งได้
- ข้อยกเว้นที่ไม่ต้องลบ (วรรค 2):
- กรณีข้อมูลที่เปิดเผยสาธารณะ (วรรค 3):
- ผู้ควบคุมต้องรับผิดชอบทางเทคโนโลยีและค่าใช้จ่ายทั้งหมด
- ต้องแจ้งผู้ควบคุมรายอื่น ที่ได้รับข้อมูลไป เพื่อให้ดำเนินการตามคำขอด้วย
- สิทธิร้องเรียน (วรรค 4): ผู้ควบคุมไม่ดำเนินการ → เจ้าของข้อมูลร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ดำเนินการ
- อำนาจของคณะกรรมการ (วรรค 5): ออกหลักเกณฑ์การลบ/ทำลาย/ทำให้ไม่ระบุตัวได้
มาตราที่อ้างอิง
- มาตรา 24 — ฐานเก็บรวบรวมข้อมูลทั่วไป — ข้อยกเว้นที่ไม่ต้องลบครอบคลุมการเก็บเพื่อ (1) ป้องกันอันตรายชีวิต และ (4) ภารกิจประโยชน์สาธารณะ
- มาตรา 26 — ฐานเก็บรวบรวมข้อมูลอ่อนไหว — ข้อยกเว้นครอบคลุม (5) (ก) เวชศาสตร์ป้องกัน/อาชีวอนามัย และ (ข) ประโยชน์สาธารณะด้านสาธารณสุข
- มาตรา 32 — สิทธิคัดค้าน — กรณีที่ (3) ของมาตรานี้อ้างถึง
หมายเหตุ
- เทียบ GDPR: สอดคล้องกับ Article 17 (สิทธิให้ลบ / "สิทธิที่จะถูกลืม") — โดยเฉพาะวรรค 3 ที่ครอบคลุม "หน้าที่แจ้งผู้ควบคุมรายอื่น" ในกรณีข้อมูลที่เปิดเผยสาธารณะ
- ความสมดุลของสิทธิ: มาตรานี้สมดุลระหว่างสิทธิของเจ้าของข้อมูลกับเสรีภาพในการแสดงความคิดเห็น/ประโยชน์สาธารณะ — สื่อมวลชน/นักวิชาการสามารถอ้างข้อยกเว้นได้
- 3 รูปแบบเลือกตามบริบท:
- ลบ: ใช้กับข้อมูลที่ไม่จำเป็นเลย
- ทำลาย: สื่อกายภาพ (เช่น เอกสาร, ฮาร์ดดิสก์เสีย)
- ทำให้ไม่ระบุตัวได้: กรณีต้องเก็บข้อมูลรวมเพื่อสถิติแต่ไม่ต้องการเชื่อมโยงกับบุคคล (เช่น ลบรหัสระบุตัวตน เก็บเฉพาะข้อมูลรวม)
- "ข้อมูลที่เปิดเผยสาธารณะ" (วรรค 3): เน้นความรับผิดชอบขยายของผู้ควบคุม — เช่น โพสต์บนสื่อสังคมที่เครื่องมือค้นหาเก็บข้อมูลไป → ต้องแจ้งเครื่องมือค้นหาด้วย
- ภาระค่าใช้จ่าย: ผู้ควบคุมเป็นผู้รับ — เจ้าของข้อมูลไม่ต้องจ่ายค่าใช้สิทธิที่จะถูกลืม
- กลไกร้องเรียน: ไม่ใช่ฟ้องศาลทันที — ขั้นแรกร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ (มีกระบวนการทางปกครอง)
- ความเชื่อมโยงกับ มาตรา 23: ผู้ควบคุมต้องแจ้งสิทธิตามมาตรานี้ในการแจ้งความเป็นส่วนตัว (มาตรา 23 (6))