เก็บข้อมูลผู้ใช้ได้นานแค่ไหน

SEC // 01

หลัก: เก็บเท่าที่จำเป็น แล้วต้องมีระบบลบ

ผู้ควบคุมข้อมูลต้องจัดให้มีระบบตรวจสอบเพื่อลบหรือทำลายข้อมูลเมื่อพ้นระยะเวลาเก็บ หรือเกินความจำเป็น (มาตรา 37(3)) และต้องแจ้งระยะเวลาเก็บใน Privacy Notice (มาตรา 23)

SEC // 02

ข้อมูลที่กฎหมายอื่นบังคับให้เก็บ

เอกสารประกอบการลงบัญชี: โดยทั่วไปต้องเก็บไม่น้อยกว่า 5 ปี (พ.ร.บ.การบัญชี)
ข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ: ไม่น้อยกว่า 90 วัน (พ.ร.บ.คอมพิวเตอร์ฯ)
ข้อมูลที่ต้องใช้ต่อสู้คดีหรือก่อตั้งสิทธิเรียกร้อง: ตามอายุความของสิทธินั้น

กรณีเหล่านี้ผู้ใช้ขอลบไม่ได้ทั้งหมด แต่ควรจำกัดการใช้ให้เหลือเฉพาะวัตถุประสงค์ตามกฎหมาย

SEC // 03

ตัวอย่าง Retention Policy

บัญชีผู้ใช้: เก็บตลอดที่ใช้บริการ ลบหรือทำให้ระบุตัวไม่ได้ภายในระยะเวลาที่กำหนดหลังปิดบัญชี
ใบเสร็จ/ใบกำกับภาษี: ตามกฎหมายบัญชีและภาษี
ข้อมูลผู้สมัครงานที่ไม่ได้รับ: ระยะสั้นตามที่แจ้งไว้ เว้นแต่ได้รับความยินยอมให้เก็บต่อ
ภาพกล้องวงจรปิด: วนทับตามรอบ เว้นแต่มีเหตุต้องเก็บเป็นหลักฐาน

SEC // 04

เรื่อง backup

การลบในฐานข้อมูลหลักไม่ได้ลบใน backup ทันที แนวปฏิบัติที่ยอมรับกันคือให้ backup หมดอายุตามรอบ และมีขั้นตอนไม่นำข้อมูลที่ถูกลบแล้วกลับมาใช้เมื่อกู้คืน ควรเขียนอธิบายไว้ในนโยบาย

STATUTE_REF // กฎหมายที่อ้างอิง

§พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 23, 33, 37(3)
§พ.ร.บ.การบัญชี พ.ศ. 2543 มาตรา 14
§พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ฯ มาตรา 26

ข้อมูล ณ วันที่ 11 ตุลาคม 2569

ตรวจสอบตัวบทและประกาศล่าสุดได้ที่

เนื้อหานี้เป็นข้อมูลทั่วไปเพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมายสำหรับกรณีของคุณ กฎหมายและประกาศลำดับรองอาจเปลี่ยนแปลง โปรดตรวจสอบฉบับล่าสุด

ต่อยอดบน Lawslaneให้ทนายตรวจระบบก่อนเปิดตัวทนายด้านเทคโนโลยีบน Lawslane ช่วยร่าง Terms, Privacy Notice, สัญญาจ้างพัฒนา และ DPA

ADVISORY // LAWSLANE

เรื่องของคุณซับซ้อนหรือมีความเสี่ยงทางกฎหมาย? ให้ทนายความที่ผ่านการยืนยันตัวตนบน Lawslane ช่วยดูให้

ปรึกษาทนายบน Lawslane

อ่านต่อ

สร้างระบบBUILD-01

สร้างระบบให้ถูก PDPA ตั้งแต่วันแรก: เช็กลิสต์ Privacy by Design สำหรับนักพัฒนา

การแก้ระบบทีหลังแพงกว่าออกแบบให้ถูกตั้งแต่ต้น เช็กลิสต์นี้ไล่ตั้งแต่ออกแบบฐานข้อมูล สิทธิ์การเข้าถึง การลบข้อมูล ไปจนถึง log ที่ต้องเก็บ ให้ทีมพัฒนาใช้ได้ทันที

อ่าน 4 นาที

PDPAPDPA-04

สิทธิของเจ้าของข้อมูล 8 ข้อ: ขอดู ขอลบ ขอโอนย้าย และองค์กรต้องตอบภายในกี่วัน

เจ้าของข้อมูลมีสิทธิขอเข้าถึง แก้ไข ลบ ระงับ คัดค้าน โอนย้ายข้อมูล และถอนความยินยอม องค์กรต้องดำเนินการภายใน 30 วัน และปฏิเสธได้เฉพาะเหตุที่กฎหมายกำหนด

อ่าน 2 นาที

PDPAPDPA-06

ต้องมี DPO ไหม และ RoPA คืออะไร: เอกสารภายในที่ PDPA บังคับ

DPO บังคับเฉพาะหน่วยงานรัฐ องค์กรที่ติดตามข้อมูลจำนวนมากเป็นประจำ หรือประมวลผลข้อมูลอ่อนไหวเป็นกิจกรรมหลัก ส่วน RoPA คือทะเบียนกิจกรรมการประมวลผลที่ต้องมีพร้อมให้ตรวจ

อ่าน 2 นาที