PDPC_Consult-47

เรื่อง คณะแพทยศาสตร์ มหาวิทยาลัยสงขลานครินทร์ ขอหารือการขอลบประวัติการรักษา
ในโรงพยาบาล

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๖ มาตรา ๒๔ (๒) (๓) (๕) และ (๖) มาตรา ๒๖ (๑) (๔) และ (๕) (ก) และ (ข) มาตรา ๓๐
   มาตรา ๓๑ มาตรา ๓๒ มาตรา ๓๓ มาตรา ๓๔ มาตรา ๓๖ มาตรา ๓๗ (๓) และมาตรา ๗๓

2. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้
   ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. ๒๕๖๗
   ข้อ ๓ วรรคหนึ่ง และข้อ ๘ วรรคสาม

3. พระราชบัญญัติมหาวิทยาลัยสงขลานครินทร์ พ.ศ. ๒๕๕๙
   มาตรา ๕

4. พระราชบัญญัติสถานพยาบาล พ.ศ. ๒๕๔๑ และที่แก้ไขเพิ่มเติม
   มาตรา ๕ วรรคหนึ่งและวรรคสอง และมาตรา ๓๕ (๓)

5. ประกาศกระทรวงสาธารณสุข เรื่อง การกำหนดหลักเกณฑ์ของสถานพยาบาลและมาตรฐานซึ่งได้รับ
   การยกเว้นไม่ต้องอยู่ในบังคับตามกฎหมายว่าด้วยสถานพยาบาล ลงวันที่ ๒๐ มีนาคม พ.ศ. ๒๕๖๑
   และที่แก้ไขเพิ่มเติม
   ข้อ ๖ (๓)

6. ประกาศกรมสนับสนุนบริการสุขภาพ เรื่อง รายละเอียดเกี่ยวกับมาตรฐานระบบบริการสุขภาพของ
   สถานพยาบาลประเภทที่รับผู้ป่วยไว้ค้างคืน ลงวันที่ ๘ มกราคม พ.ศ. ๒๕๖๔
   ข้อ ๓

7. ประกาศกรมสนับสนุนบริการสุขภาพ เรื่อง หน่วยงานที่รับรองคุณภาพสถานพยาบาลซึ่งดำเนินการ
   โดยกระทรวง ทบวง กรม องค์กรปกครองส่วนท้องถิ่น รัฐวิสาหกิจ สถาบันการศึกษาของรัฐ
   หน่วยงานอื่นของรัฐ สภากาชาดไทย พ.ศ. ๒๕๖๗
   ข้อ ๓

ข้อหารือ

โรงพยาบาลสงขลานครินทร์ คณะแพทยศาสตร์ มหาวิทยาลัยสงขลานครินทร์ แจ้งว่า ได้รับคำขอ
จากผู้รับบริการของโรงพยาบาลสงขลานครินทร์ แจ้งความประสงค์ขอลบประวัติการรักษาของผู้ร้องจากฐานข้อมูล
โรงพยาบาลสงขลานครินทร์ โดยอ้างว่าเป็นสิทธิตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ จึงขอ
หารือข้อกฎหมายในประเด็นดังกล่าวว่า โรงพยาบาลสงขลานครินทร์ จะอ้างการเก็บรวบรวมข้อมูลส่วนบุคคลของ
เจ้าของข้อมูลส่วนบุคคลที่มีต่อโรงพยาบาลอันเป็นระบบการประกันสุขภาพ ซึ่งเป็นสวัสดิการพื้นฐานของรัฐ
หากเกิดกรณีมีผู้ร้องขอใช้สิทธิลบประวัติการรักษา ทางโรงพยาบาลฯ จะสามารถอ้างข้อกฎหมายหรือฐานทางกฎหมาย

ประการใด ทั้งนี้ เพื่อเป็นแนวทางให้กับโรงพยาบาลส่งขลานครินทร์ และโรงพยาบาลอื่น ๆ ที่อาจได้รับคำขอ ดังกล่าว

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าว โดยมีผู้แทน โรงพยาบาลส่งขลานครินทร์ชี้แจงข้อเท็จจริงประกอบการพิจารณาแล้ว มีความเห็นว่า โรงพยาบาลส่งขลานครินทร์ เป็นหน่วยงานภายใต้สังกัดคณะแพทยศาสตร์ มหาวิทยาลัยสงขลานครินทร์ โดยมหาวิทยาลัยสงขลานครินทร์ มีฐานะเป็นนิติบุคคลตามมาตรา ๕ แห่งพระราชบัญญัติมหาวิทยาลัยสงขลานครินทร์ พ.ศ. ๒๕๕๙ จึงถือได้ว่า มหาวิทยาลัยสงขลานครินทร์เป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ การที่โรงพยาบาลส่งขลานครินทร์ทำการเก็บรวบรวมข้อมูลประวัติการรักษาของ ผู้รับบริการ มีวัตถุประสงค์หลักเพื่อการให้บริการสุขภาพแก่ผู้รับบริการซึ่งตัดสินใจเข้ารับบริการกับทาง โรงพยาบาล จึงอาจถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของ ข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น ตามมาตรา ๒๔ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และสำหรับข้อมูลส่วนบุคคล ตามมาตรา ๒๖ (เช่น ข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ) ถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่เป็นการจำเป็น ในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การประเมิน ความสามารถในการทำงานของลูกจ้าง การวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพหรือด้านสังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์ หรือในกรณี ที่ไม่ใช่การปฏิบัติตามกฎหมายและข้อมูลส่วนบุคคลนั้นอยู่ในความรับผิดชอบของผู้ประกอบอาชีพหรือวิชาชีพหรือ ผู้มีหน้าที่รักษาข้อมูลส่วนบุคคลนั้นไว้เป็นความลับตามกฎหมาย ก็อาจถือเป็นการปฏิบัติตามสัญญาระหว่าง เจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์ ตามมาตรา ๒๖ (๕) (ก) แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เว้นแต่ในกรณีจำเป็นที่ต้องเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อป้องกันหรือระงับ อันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล ซึ่งจะเป็นไปตามมาตรา ๒๔ (๒) หรือมาตรา ๒๖ (๑) แล้วแต่กรณี

นอกจากนี้ พระราชบัญญัติสถานพยาบาล พ.ศ. ๒๕๔๑ มาตรา ๓๕ (๓) กำหนดหน้าที่ และความรับผิดชอบของผู้รับอนุญาตและผู้ดำเนินการของสถานพยาบาลในการจัดให้มีและรายงานหลักฐาน เกี่ยวกับผู้ประกอบวิชาชีพในสถานพยาบาลและผู้ป่วย และเอกสารอื่นที่เกี่ยวกับการรักษาพยาบาล โดยต้อง เก็บรักษาไว้ให้อยู่ในสภาพที่ตรวจสอบได้ไม่น้อยกว่า ๕ ปีนับแต่วันจัดทำ และโรงพยาบาลส่งขลานครินทร์ ในฐานะสถานพยาบาลซึ่งดำเนินการโดยสถาบันการศึกษาของรัฐ ต้องมีลักษณะของสถานพยาบาล และมาตรฐานตามมาตรา ๕ วรรคหนึ่งและวรรคสอง แห่งพระราชบัญญัติสถานพยาบาล พ.ศ. ๒๕๔๑ ซึ่งแก้ไข เพิ่มเติมโดยพระราชบัญญัติสถานพยาบาล (ฉบับที่ ๔) พ.ศ. ๒๕๕๙ ประกอบข้อ ๖ (๓) ของประกาศกระทรวง สาธารณสุข เรื่อง การกำหนดลักษณะของสถานพยาบาลและมาตรฐานซึ่งได้รับการยกเว้นไม่ต้องอยู่ในบังคับ ตามกฎหมายว่าด้วยสถานพยาบาล ลงวันที่ ๒๐ มีนาคม พ.ศ. ๒๕๖๑ ซึ่งแก้ไขเพิ่มเติมโดยประกาศกระทรวง

สาระรณสุข เรื่อง การกำหนดกลักษณะของสถานพยาบาลและมาตรฐานซึ่งได้รับการยกเว้นไม่ต้องอยู่ในบังคับ ตามกฎหมายว่าด้วยสถานพยาบาล (ฉบับที่ ๒) ลงวันที่ ๒๘ มิถุนายน พ.ศ. ๒๕๖๒ โดยต้องจัดให้มีระบบ การจัดการเวชระเบียนที่เป็นมาตรฐาน จัดให้มีระบบข้อมูลสำรองเพื่อป้องกันข้อมูลสูญหาย และมีพื้นที่เพียงพอ ที่จะเก็บเวชระเบียนได้อย่างน้อย ๕ ปี ตามข้อ ๓ ของประกาศกรมสนับสนุนบริการสุขภาพ เรื่อง รายละเอียด เกี่ยวกับมาตรฐานระบบบริการสุขภาพของสถานพยาบาลประเภทที่รับผู้ป่วยไว้ค้างคืน ลงวันที่ ๘ มกราคม พ.ศ. ๒๕๖๔ ประกอบข้อ ๓ ของประกาศกรมสนับสนุนบริการสุขภาพ เรื่อง หน่วยงานที่รับรองคุณภาพ สถานพยาบาลซึ่งดำเนินการโดยกระทรวง ทบวง กรม องค์กรปกครองส่วนท้องถิ่น รัฐวิสาหกิจ สถาบันการศึกษา ของรัฐ หน่วยงานอื่นของรัฐ สภากาชาดไทย พ.ศ. ๒๕๖๗ การที่โรงพยาบาลส่งขลานครินทร์เก็บรวบรวม ข้อมูลประวัติการรักษาของผู้รับบริการตามข้อกฎหมายดังกล่าว จึงถือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุม ข้อมูลส่วนบุคคลตามมาตรา ๒๔ (๖) หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์ เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุขตามมาตรา ๒๖ (๕) (ข) แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ แล้วแต่กรณี อีกด้วย

วัตถุประสงค์อีกประการหนึ่งที่สถานพยาบาลต่าง ๆ เก็บรวบรวมข้อมูลประวัติการรักษา ของผู้รับบริการ คือ เพื่อเป็นหลักฐานอ้างอิงทางกฎหมายในกรณีที่มีการดำเนินคดีต่อสถานพยาบาล หรือบุคลากรที่เกี่ยวข้อง ไม่ว่าจะเป็นคดีอาญา คดีแฟง คดีปกครอง หรือการดำเนินการด้านจริยธรรม หรือจรรยาบรรณของผู้ประกอบวิชาชีพหรือผู้ประกอบโรคศิลปะ ซึ่งอาจถือเป็นกรณีที่เป็นการจำเป็น เพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งประโยชน์ดังกล่าวมีความสำคัญ ไม่น้อยกว่าสิทธิชั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๒๔ (๕) หรือเป็นการจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้อง ตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมายตามมาตรา ๒๖ (๔) แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ อีกด้วย

ในกรณีที่เจ้าของข้อมูลส่วนบุคคลขอใช้สิทธิของตนเองตามที่กำหนดไว้ในพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๓๐ ถึง ๓๔ และมาตรา ๓๖ นั้น ผู้ควบคุมข้อมูลส่วนบุคคล มีหน้าที่ต้องพิจารณาคำขอใช้สิทธิว่าสอดคล้องกับเงื่อนไขที่กฎหมายกำหนดในการขอใช้สิทธิแต่ละกรณี หรือไม่ โดยในส่วนของสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคล เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ตามมาตรา ๓๓ โรงพยาบาลส่งขลานครินทร์ อาจพิจารณาปฏิเสธคำขอใช้สิทธิของผู้รับบริการได้ หากเห็นว่าเป็นกรณีดังต่อไปนี้

(๑) ข้อมูลส่วนบุคคลนั้นยังมีความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยโรงพยาบาลส่งขลานครินทร์จะต้องพิจารณาความจำเป็น ในการเก็บรักษาข้อมูลส่วนบุคคลดังกล่าวตามวัตถุประสงค์ที่เก็บรวบรวมไว้ เช่น ยังมีความจำเป็นในการ เก็บรักษาข้อมูลส่วนบุคคลดังกล่าวไว้เพื่อการให้บริการสุขภาพตามมาตรฐานของสถานพยาบาล เพื่อการปฏิบัติ ตามกฎหมายว่าด้วยสถานพยาบาล หรือเพื่อเป็นหลักฐานอ้างอิงทางกฎหมายสำหรับคดีที่อาจเกิดขึ้นและ ยังไม่หมดอายุความ เป็นต้น ทั้งนี้ ตามนัยมาตรา ๓๓ (๑) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และไม่ใช่กรณีที่เข้าเงื่อนไขตาม (๒) (๓) หรือ (๔)

(๒) การเก็บรักษาไว้เพื่อวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การประเมินความสามารถในการทำงานของลูกจ้าง การวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพ หรือด้านสังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์ หรือการปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์ ตามมาตรา ๒๖ (๕) (ก) หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะด้าน การสาธารณสุขตามมาตรา ๒๖ (๕) (ข) หรือการใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือ การใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย ซึ่งมาตรา ๓๓ วรรคสอง กำหนดยกเว้นมิให้นำสิทธิขอให้ดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคล เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ตามมาตรา ๓๓ วรรคหนึ่ง มาใช้บังคับกับ การเก็บรักษาข้อมูลส่วนบุคคลไว้เพื่อวัตถุประสงค์ดังกล่าว

ดังนั้น โรงพยาบาลสงขลานครินทร์สามารถปฏิเสธคำขอใช้สิทธิลบหรือทำลาย หรือทำให้ ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ของผู้ร้องขอ รายดังกล่าวได้ หากมีความจำเป็นต้องเก็บรักษาข้อมูลประวัติการรักษาของผู้นั้นไว้ตามกฎหมายว่าด้วย สถานพยาบาล หรือเพื่อวัตถุประสงค์อื่น ๆ ที่ชอบด้วยกฎหมาย หรือเป็นข้อมูลส่วนบุคคลที่เก็บรักษาไว้ เพื่อวัตถุประสงค์ตามมาตรา ๒๖ (๕) (ก) หรือ (ข) หรือเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตาม หรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติ ตามกฎหมาย ซึ่งเป็นกรณีเฉพาะที่ได้รับยกเว้นไม่ให้นำสิทธิดังกล่าวมาใช้บังคับ โรงพยาบาลสงขลานครินทร์ จึงควรพิจารณาแจ้งให้เจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิทราบว่า ไม่อาจดำเนินการตามคำขอใช้สิทธิของเจ้าของ ข้อมูลส่วนบุคคลได้ พร้อมชี้แจงเหตุผล ตามมาตรา ๓๓ วรรคหนึ่งและวรรคสอง และวรรคห้า แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ประกอบข้อ ๓ วรรคหนึ่ง และข้อ ๘ วรรคสาม ของประกาศคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถ ระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. ๒๕๖๗

อย่างไรก็ตาม ผู้ควบคุมข้อมูลส่วนบุคคลยังมีหน้าที่จัดให้มีระบบการตรวจสอบเพื่อดำเนินการ ลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็น ตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของ ข้อมูลส่วนบุคคลได้ถอนความยินยอม เว้นแต่จะเป็นกรณีที่ได้รับยกเว้น ตามที่กำหนดไว้ในมาตรา ๓๗ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ อีกด้วย ดังนั้น สำหรับข้อมูลส่วนบุคคลเกี่ยวกับ ประวัติการรักษาของผู้รับบริการที่โรงพยาบาลได้เก็บรวบรวมไว้เกินกว่า ๕ ปีนับแต่วันจัดทำตามที่กฎหมายว่าด้วย สถานพยาบาลกำหนด มหาวิทยาลัยสงขลานครินทร์ โดยโรงพยาบาลสงขลานครินทร์ ในฐานะผู้ควบคุม ข้อมูลส่วนบุคคล จะต้องพิจารณาว่าข้อมูลส่วนบุคคลดังกล่าวหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ ต่าง ๆ ที่กำหนดไว้โดยชอบด้วยกฎหมายแล้วหรือไม่ หรือยังมีความจำเป็นต้องเก็บรักษาไว้เพื่อวัตถุประสงค์ ตามมาตรา ๒๖ (๕) (ก) หรือ (ข) หรือการใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือ การใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย หากเห็นว่าการเก็บรักษาข้อมูลส่วนบุคคลไว้เพื่อวัตถุประสงค์ต่าง ๆ หมดความจำเป็นแล้วตามมาตรา ๓๗ (๓) หรือเป็นกรณีที่เจ้าของข้อมูลส่วนบุคคลสามารถใช้สิทธิตามมาตรา ๓๓ ได้ โรงพยาบาลสงขลานครินทร์

ต้องดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ตามหลักเกณฑ์ที่กำหนดไว้ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. ๒๕๖๗

ทั้งนี้ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่ดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการได้ ตามมาตรา ๓๓ วรรคสี่ ประกอบมาตรา ๗๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒