บทความโดย นายก้องทภพ แก้วศรี
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 (Personal Data Protection Act: PDPA) ประกาศในราชกิจจานุเบกษา เมื่่อวันที่ 27 พฤษภาคม 2562 ใช้บังคับในวันถัดจากวันที่ประกาศ แต่ในหมวด 2 ที่ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล หมวด3 ที่ว่าด้วยสิทธิของเจ้าของข้อมูลส่วนบคคล หมวด5ที่ว่าด้วยการร้องเรียน หมวด 6 ที่วาด้วยความรับผิดทางแพ่ง หมวด 7 บทกำหนดโทษ โทษอาญา โทษทางปกครอง ใช้บังคับเมื่อพ้นกำหนด 1ปีนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป (ตั้งแต่่วนที่ 28มิถุนายน2563 )ซึ่งในเวลานี้ก็ถือว่าใช้บังคับทุกหมวดแล้วครับ
ข้อมูลส่วนบุคคล
ตามพระราชบัญญัตินี้ ข้อมูลส่วนบุคคล (มาตรา6) หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม และไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ เช่น ชื่อ นามสกุล หมายเลขประชาชน เบอร์โทรศัพท์ อีเมล์ เป็นต้น
ข้อมูลส่วนบุคคล ตามมาตรา 26 ข้อมูลส่วนบุคคลที่มีความอ่อนไหว(Sensitive Personal Data) (อ้างอิงจากเว็บไซต์ https://pdpathailand.com/pdpa/content/article9919.php?srsltid=AfmBOora7RIB7cdixVr21tj5zDat_wTdRlYsB--M5gGfV3NGuNDNWuKR) ที่เกี่ยวกับเชื้อชาติ เผ่าพันธ์ุ ความคิดเห็นทางการเมือง ความเชื่อในสัทธิ ศาสนา หรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใด ซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคล
พระราชบัญญัติฉบับนี้ ใช้บังคับกับ
การเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคล โดยผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร ไม่ว่าการเก็บรวบรวม ใช้หรือเปิดเผยนั้น จะกระทำในหรือนอกราชอาณาจักร และกรณีผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ที่อยู่นอกราชการอาณาจักร แต่การเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร โดยการดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลข้อมูลส่วนบุคคล ในกิจกรรมเกี่ยวกับการเสนอสินค้าหรือบริการให้แก่เจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร การเฝ้าติดตามพฤติกรรมของเจ้าของข้อมูลส่วนบุคคลที่เกิดขึ้นในราชอาณาจักร
พระราชบัญญัติฉบับนี้ ไม่ใช้บังคับกับ
(1) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ของบุคคลที่ทำการเก็บรวมรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรรมในครอบครัวนั้นเท่านั้น
(2) ไม่ใช้บังคับกับการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่รักษาความมั่นคงของรัฐ ความมั่นคงทางการคลังของรัฐ หรือการรักษาความปลอดภัยของประชาชน รวมถึงหน้าที่เกี่ยวกับการป้องกันและปราบปรามการฟอกเงิน นิติวิทยาศาสตร์ หรือการรักษาความมั่งคงปลอดภัยใซเบอร์
(3) ไม่ใช่บังคับกับบุคคลหรือนิติบุคคลที่ใช้หรือเปิดผยข้อมูลส่วนบุคคลที่ทำการเก็บรวบรวมไว้เฉพาะเพื่อกิจการสื่อสาร งานศิลปกรรมหรืองานวรรณกรรมอันเป้นไปตามจริยธรรมแห่งการประกอบวิชาชีพหรือเพื่อประโยชน์สาธารณะเท่านั้น
(4) ไม่ใช้บังคับกับสภาผู้แทนราษฎร วุฒิสภาและรัฐสภา รวมถึงคณะกรรมาธิการที่ตั้งโดยสภาดังกล่าว ซึงการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคล ในการพิจารณาตามหน้าที่และอำนาจของสภาดังกล่าว
(5) ไม่ใช้บังคับกับการพิจารณาพิพากษาคดีและการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดี การบังคับคดี และการวางทรัพย์ รวมทั้งการดำเนินเงินตามกระบวนการยุติธรรมทางอาญา
(6) ไม่ใช่บังคับกับการดำเนินการกับข้อมูลของบริษัทข้อมุลเครดิตและสมาชิกตามกฎหมายว่าด้วยการประกอบธุรกิจข้อมูลเครดิต โดยผู้ควบคุมข้อมูลส่วนบุคคลตามนี้จะต้องจัดให้มีการรักษาความมั่งคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานด้วย
ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล หมายถึงใคร
ผู้ควบคุมข้อมูลส่วนบุคคล ตามพระราชบัญญัตินี้ หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมุูลส่วนบุคคล
ผู้ประมวลผลข้อมูลส่วนบุคคล หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบคคลตามคำสั่งหรือในนามผู้ควบคุมข้อมูลส่วนบุคคล โดยที่ไม่ได้เป็นผู้ควบคุมข้อมูลส่วนบุคคล
ตัวอย่าง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ เช่น สำนักนายกรัฐมนตรี สำนักงานคณะกรรมการข้าราชการพลเรือน กระทรวงการคลัง กรมบัญชีกลาง สำนักงานเศรษฐกิจการคลัง กระทรวงการต่างประเทศ ฯลฯ
การคุ้มครองข้อมูลส่วนบุคคล (มาตรา19-21)
ผู้ควบคุมข้อมูลส่วนบุคคลจะทำการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคล ไม่ได้ หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือขณะนั้น เว้นแต่บทบัญญัติกฎหมายนี้หรือกฎหมายอื่นบัญญัติให้ทำได้
การขอความยินยอมต้องทำโดยชัดแจ้ง เป็นหนังสือหรือโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่สภาพไม่อาจขอควมยินยอมด้วยวิธีดังกล่าวได้
ในการขอความยินยอมจากเจ้าของ ผู้ควบคุมต้องแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้หรือเปิดเผยข้อมุลส่วนบุคคลไปด้วย และการขอความยินยอมต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจนมีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้ ใชภาษาที่อ่านง่าย ไม่เป็นการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์
เจ้าของข้อมูลส่วนบุคคล จะถอนความยินยอมเมื่อใดก็ได้ และจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม เว้นถูกจำกัดสิทธิโดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล หากการถอนความยินยอมส่งผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลใเรื่องใด ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงผลกระทบจากการถอนความยินยอมนั้นด้วย
เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์
ซึ่งยังไม่บรรลุนิติภาวะโดยการสมรส (การสมรสจะทำได้เมื่อชายและหญิงมีอายุครบ 17 ปีบริบูรณ์ แล้ว กรณีมีเหตุอันสมควร ศาลอาจอนุญาตให้ทำการสมรสก่อนนั้นได้ ป.พ.พ.1448) หรือไม่มีฐานะเหมือนบุคคลซึ่งบุคคลนิติภาวะแล้วตามมาตรา 27 ป.พ.พ.(ผู้เยาว์ที่ผู้แทนโดยชอบธรรมยินยอมให้ประกอบธุรกิจทางการค้าหรือธุรกิจอื่น หรือในการทำสัญญาเป็นลูกจ้างในสัญญาจ้างแรง) ผู้เยาว์ต้องได้รับความยินยอมจากผู้ใชอำนาจทางปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ด้วย ผู้เยาว์ที่อายุไม่เกิน 10 ปี ให้ขอความยินยอมจากผู้ใช้อำนาจทางปกครองที่มีอำนาจกระทำแทนผู้เยาว์ ผู้เยาว์เป็นคนไร้ความสามารถขอความยินยอมจากผู้อนุบาลที่มีอำนาจฯ ผู้เยาว์เป็นคนเสมือนไร้ความสามารถขอความยินยอมจากผู้พิทักษ์ที่มีอำนาจ ให้ใช้ถึงการถอนความยินยอม การแจ้งให้เจ้าของข้อมูลทราบ การใช้สิทธิของเจ้าของข้อมูล การร้องเรียนและการอื่นตามพระราชบัญญัตินี้ (มาตรา20)
ผู้ควบคุมข้อมูลส่วนบุคคล ต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม (มาตรา 21)
การเก็บรวบรวมข้อมูลส่วนบุคคล (มาตรา22-26)
การเก็บรวบรวมข้อมูลส่วนบุคคล ให้เก็บรวบรวมได้เท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล
ในการเก็บรวมรวบข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล จะต้องให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล ถึงรายละเอียด (มาตรา23)
(1)วัตถุประสงค์ของการเก็บ เพื่อนำข้อมูลไปใช้หรือเปิดเผย รวมถึงวัตถุประสงค์ตามมาตรา 24 ที่ให้อำนาจในการเก็บรวบรวมได้โดยไม่ได้รับความยินยอม
(2) แจ้งให้ทราบถึงกรณีที่เจ้าของข้อมูลต้องให้ข้อมูล เพื่อปฏิบัติตามกฎหมายหรือสัญญา หรือมีความจำเป็นต้องให้ข้อมูลเพื่อเข้าทำสัญญา รวมถึงผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล
(3) ข้อมูลส่วนบุคคลทีมีการเก็บรวบรวมและระยะเวลาในการเก็บรวบรวมไว้
(4)ประเภทของบุคคลหรือหน่วยงาน ซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิเดเผย
(5) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล สถานที่ติดต่อ และวิธีการติดต่อในกรณีที่มีตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
(6)สิทธิของเจ้าของข้อมูลส่วนบุคคล
ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล เกี่บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง เว้นแต่ได้แจ้งถึงการเก็บรวบรวมข้อมูลส่วนบุคคลจากแห่งอื่นให้เจ้าของข้อมูลส่วนบุคคลโดยไม่ชักช้า แต่ต้องไม่เกิน 30 วันนับแต่วันที่เก็บรวบรวม และได้รับความยินยอม หรือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้รัการยกเว้นไม่ต้องขอความยินยอม (มาตรา 25)
การเก็บรวบรวมข้อมูลส่วนบุคคล ที่ได้รับการยกเว้นไม่ต้องได้รับความยินยอม(มาตรา24)
(1) เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะฯ
(2) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกายหรือสุขภาพของบุคคล
(3) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญา ซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น
(4) เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล
(5) เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลสวนบุคคลหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล
(6) เเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล
ห้ามเก็บรวบรวมข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Personal Data) โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่ ( มาตรา 26)
(1) เพือป้องกันหรือระงับอันตรายต่อชีวติ ร่างกาย หรือสุขภาพของบุคคลซึ่งเจ้าของข้อมูลไม่สามารถให้ความยินยอมได้ไม่ว่าด้วยเหตุใดก็ตาม
(2) เป็นการดำเนินกิจกรรมโดยชอบด้วยกฎหมายที่มีการคุ้มครองที่เหมาะสมของมูลนิธิ สมาคม หรือองค์กรที่ไม่แสวงหากำไรที่มีวัตถุประสงค์เกี่ยวกับการเมือง ศาสนาม ปรัชญา หรือสหภาพแรงงานให้แก่สมาชิกหรือผู้เคยเป็นสมาชิก ฯ
(3) เป็นข้อมูลที่เปิดเผยต่อสาธารณะดวยความยินยอมโดยชัดแจ้งของเจ้าของข้อมูลส่วนบุคคล
(4) เป็นการจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
(5) เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์ เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ ประโยชน็สาธารณะด้านการสาธารณะสุข การคุ้มครองแรงงาน การประกันสังคม หลักประกันสุขภาพแห่งชาติ การศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ สถิติหรือประโยชน์สาธารณะที่สำคัญ ฯ
การใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคล ใช้หรือเปิดผยข้อมูลส่วนบุคคล โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่ เป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา 24 หรือมาตรา 26
บุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลจากการเปิดเผยของผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว จะต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมุลส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น (มาตรา27)
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคล ส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูล ต้องมีมาตรฐานความคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ตามหลักเกณฑ์การให้ความคุ้มครองที่คณะกรรมการประกาศกำหนด เว้นแต่
(1) เป็นการปฏิบัติตามกฎหมาย
(2) ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงมาตรฐานการคุ้มครองที่เพียงพอของประเทศปลายทาง
(3) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญา ซึ่งเจ้าของข้อมูลเป็นคู่สัญญาหรือดำเนินการตามคำขอของเจ้าของข้อมูลก่อนเข้าทำสัญญานั้น
(4) เป็นการกระทำตามสัญญาระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับบุคคลหรือนิติบุคคลอื่น เพื่อประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
(5) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของเจ้าของข้อมุลส่วนบุคคลหรือบุคคลอื่น เมื่อเจ้าของข้อมูลส่วนบุคคลไม่อาจให้ความยินยอมได้
(6) เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ
หน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล
(1) จัดให้มีมาตรการรักษาความมั่งคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นฯ
(2) กรณีที่ต้องให้ข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่น ที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล ต้องดำเนินการป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ
(3) จัดให้มีระบบตรวจสอบ เพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคล เมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมุลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลร้องขอ หรือที่เจ้าของฯ ถอนความยินยอม ฯ
(4) แจ้งเหตุแห่งการละเมิดข้อมูลส่วนบุคคล แก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้า ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถกระทำได้ เว้นแต่การละเมิดไม่มีความเสียงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล
(5) กรณีผู้ควบคุมข้อมูลส่วนบุคคลอยู่นอกราชอาณาจักร ต้องแต่งต้ังตัวแทนของผู้ควบคุมข้อมุลส่วนบุคคลเป็นหนังสือ ซึ่งตัวแทนต้องอยู่ในราชอาณาจักรและต้องได้รับมอบอำนาจให้กระทำแทนผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่มีข้อจำกัดความรับผิดใดๆ ที่เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ของผู้ควบคุมข้อมูลส่วนบุคคล
สิทธิของเจ้าของข้อมูลส่วนบุคคล
(มาตรา30 )เจ้าของข้อมูลส่วนบุคคล มีสิทธิเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตน ซึ่งอยู่ในความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล หรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลดังกล่าวที่ตนไม่ได้รับความยินยอม
ผู้ควบคุมคุมข้อมูลส่วนบุคคลต้องปฏิบัติตามคำขอ จะปฏิเสธคำขอได้เฉพาะกรณีที่เป็นการปฏิเสธตามกฎหมายหรือคำสั่งศาล และการเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลนั้น จะส่งผลกระทบที่อาจก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลนั้น
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลปฏิเสธคำขอ ต้องบันทึกการปฏิเสธคำขอดังกล่าวพร้อมเหตุผล และหากเป็นกรณีที่ไม่อาจปฏิเสธคำขอได้ ให้ดำเนินการตามคำขอโดยไม่ชักช้า แต่ต้องไม่เกิน 30 วันนับแต่วันที่ได้รับคำขอ
(มาตรา31) เจ้าของข้อมูลส่วนบุคคล มีสิทธิขอรับข้อมูลส่วนบุคคลที่เกี่ยวกับตนจากผู้ควบคุมข้อมูลส่วนบุคคลได้
(มาตรา32) เจ้าของข้อมูลส่วนบุคคลมีสิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมุลส่วนบุคคลที่เกี่ยวกับตรเมือใดก็ได้
(1) กรณีเป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมโดยได้รับการยกเว้นไม่ต้องขอความยินยอมตามมาตรา 24(4) หรือ(5) เว้นแต่ผู้ควบคุมจะพิสูจน์ได้ว่า การเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลนั้น ผู้ควบคุมข้อมูลส่วนบุคคลได้แสดงให้เห็นเหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า หรือการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น เป็นไปเพื่อก่อต้ังสิทธิเรียกร้องตามกฎหมาย การปฎิบัติตาม หรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
(2) กรณีเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อวัตถุประสงค์เกี่ยวกับตลาดแบบตรง
(3) กรณีเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลเพื่อวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ เว้นแต่เป็นการจำเป็นเพื่อการดำเนินภาคกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมส่วนบุคคล
ในกรณีที่เจ้าของข้อมูลส่วนบุคคลใช้สิทธิคัดค้าน ผู้ควบคุมข้อมูลส่วนบุคคลไม่สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นต่อไปได้ ผู้ควบคุมข้อมูลส่วนบุคคลต้องปฏิบัติโดยแยกส่วนออกจากข้อมูลอื่นอย่างชัดเจนในทันที เมื่อเจ้าของข้อมูลส่วนบุคคลได้แจ้งการคัดค้านให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบ
(มาตรา33) เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคค ดำเนินการ ลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ เมื่อ
(1) เมื่อข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคล
(2) เมื่อเจ้าของข้อมูลส่วนบุคคล ถอนความยินยอมในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคล และผู้ควบคุมข้อมูลส่วนบุคคลไม่มีอำนาจตามกฎหมายที่จะเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลนั้นได้ต่อไป
(3) เมื่อเจ้าของข้อมูลส่วนบุคคลคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล