การเก็บรักษาข้อมูล (Data Retention)

การเก็บรักษาข้อมูล (Data Retention) คือ หลักการที่ผู้ควบคุมข้อมูลต้องเก็บรักษาข้อมูลส่วนบุคคลไว้เฉพาะเท่าที่จำเป็นตามวัตถุประสงค์ที่เก็บรวบรวม และต้องลบหรือทำลายข้อมูลเมื่อพ้นระยะเวลาที่กำหนดหรือเมื่อไม่จำเป็นต้องเก็บอีกต่อไป ตามหลักการในมาตรา 21 และหน้าที่ในมาตรา 37(3) ของ PDPA การเก็บรักษาข้อมูลอย่างเหมาะสมช่วยป้องกันความเสี่ยงจากการเก็บข้อมูลไว้นานเกินจำเป็น

หลักการสำคัญของการเก็บรักษาข้อมูลคือ "เก็บเท่าที่จำเป็น และเก็บเท่าที่กฎหมายกำหนด" ผู้ควบคุมข้อมูลต้องกำหนดระยะเวลาการเก็บรักษาข้อมูลแต่ละประเภทอย่างชัดเจน โดยพิจารณาจากวัตถุประสงค์ของการประมวลผลและหน้าที่ตามกฎหมายอื่นที่เกี่ยวข้อง เช่น กฎหมายภาษีที่อาจกำหนดให้เก็บเอกสารทางการเงินไว้ 5 ปี หรือกฎหมายบัญชีที่กำหนดระยะเวลาเก็บสมุดบัญชี

เมื่อครบกำหนดระยะเวลาการเก็บรักษา หรือเมื่อข้อมูลไม่จำเป็นสำหรับวัตถุประสงค์อีกต่อไป ผู้ควบคุมข้อมูลต้องดำเนินการลบ ทำลาย หรือทำให้ข้อมูลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ (Anonymization) อย่างปลอดภัย นอกจากนี้ เจ้าของข้อมูลยังมีสิทธิขอให้ลบข้อมูลได้ตามสิทธิในการลบข้อมูล ซึ่งผู้ควบคุมข้อมูลต้องตอบสนองตามเงื่อนไขที่กฎหมายกำหนด

SME ควรจัดทำนโยบายการเก็บรักษาข้อมูล (Data Retention Policy) ที่ระบุประเภทข้อมูล ระยะเวลาเก็บ และวิธีการทำลายเมื่อครบกำหนด การมีนโยบายที่ชัดเจนไม่เพียงช่วยให้สอดคล้องกับ PDPA แต่ยังช่วยลดต้นทุนการจัดเก็บข้อมูลและลดความเสียหายหากเกิดเหตุละเมิดข้อมูล เพราะข้อมูลที่ไม่ได้เก็บไว้ย่อมไม่อาจรั่วไหลได้

คำถามที่พบบ่อย

Frequently asked questions

เนื้อหาที่เกี่ยวข้อง

Related content