PDPA กับ Log — เก็บข้อมูลจราจรอย่างไรไม่ผิดกฎหมายคุ้มครองข้อมูลส่วนบุคคล
เก็บ Log ตาม พ.ร.บ. คอมฯ โดยไม่ผิด PDPA ต้องรู้ว่า IP, Username และอีเมลใน Log เป็นข้อมูลส่วนบุคคล ดูฐานกฎหมายที่ใช้ได้ ข้อปฏิบัติ 6 ข้อ และตารางเทียบสองกฎหมาย
PDPA กับ Log — เก็บข้อมูลจราจรอย่างไรไม่ผิดกฎหมายคุ้มครองข้อมูลส่วนบุคคล
ผู้ให้บริการที่เข้าข่ายต้องเก็บ Log ตาม มาตรา 26 แห่ง พ.ร.บ.คอมพิวเตอร์ฯ (พ.ศ. 2550 แก้ไขเพิ่มเติม พ.ศ. 2560) และต้องปฏิบัติตาม PDPA (พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล 2562) ไปพร้อมกันด้วย — สองกฎหมายนี้ขัดกันหรือไม่? เก็บ Log อย่างไรให้ถูกทั้งสองฉบับ?
PDPA คืออะไร?
PDPA (Personal Data Protection Act) หรือ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คือกฎหมายที่คุ้มครอง ข้อมูลส่วนบุคคล ของบุคคล — รวมถึง ชื่อ, อีเมล, IP Address, Username ที่ปรากฏใน Log
Log มีข้อมูลส่วนบุคคลอะไรบ้าง?
| ข้อมูลใน Log | เป็นข้อมูลส่วนบุคคลตาม PDPA? | ตัวอย่าง |
|---|
| IP Address | ✅ ใช่ | 192.168.1.100, 203.0.113.50 |
| Username | ✅ ใช่ | somchai@company.co.th |
| Email | ✅ ใช่ | user@domain.com |
| MAC Address | ✅ ใช่ | 00:1A:2B:3C:4D:5E |
| URL ที่เข้าชม | ✅ อาจใช่ | health-related URLs |
| Device Name | ⚠️ ขึ้นอยู่กับ | SOMCHAI-LAPTOP |
| Timestamp | ❌ ไม่ใช่ | 2026-03-13T07:00:00Z |
| Port Number | ❌ ไม่ใช่ | 443, 8080 |
พ.ร.บ. คอมฯ vs PDPA — ขัดกันไหม?
ไม่ขัดกัน! แต่ต้องทำให้ถูกทั้งสองฉบับ:
| ประเด็น | พ.ร.บ. คอมฯ (พ.ศ. 2550 แก้ไขเพิ่มเติม พ.ศ. 2560) | PDPA 2562 |
|---|
| เก็บ Log | ✅ ผู้ให้บริการที่เข้าข่ายต้องเก็บ (มาตรา 26) | ✅ เก็บได้ (ฐานกฎหมาย) |
| ระยะเวลา | ไม่น้อยกว่า 90 วัน (เจ้าหน้าที่สั่งให้เก็บนานกว่านั้นได้เป็นรายกรณี รวมไม่เกิน 2 ปี) | เก็บเท่าที่จำเป็น |
| วัตถุประสงค์ | ความมั่นคงปลอดภัย | ต้องระบุวัตถุประสงค์ |
| การเข้าถึง | เจ้าหน้าที่ร้องขอได้ | เจ้าของข้อมูลร้องขอดูได้ |
ฐานกฎหมาย (Legal Basis) ที่ใช้เก็บ Log ตาม PDPA:
- ✅ มาตรา 24(6) — ปฏิบัติตามกฎหมาย (พ.ร.บ. คอมฯ)
- ✅ มาตรา 24(5) — ประโยชน์อันชอบด้วยกฎหมาย (Legitimate Interest)
6 ข้อปฏิบัติ เก็บ Log ให้ถูก PDPA
1. ระบุวัตถุประสงค์ชัดเจน
- บันทึกใน Privacy Policy ว่าเก็บ Log เพื่อ:
- ความมั่นคงปลอดภัย (Security)
- ปฏิบัติตาม พ.ร.บ. คอมฯ (Legal Obligation)
- ตรวจสอบการใช้งาน (Audit)
2. เก็บเท่าที่จำเป็น (Data Minimization)
- เก็บเฉพาะ Log ที่มีวัตถุประสงค์ชัดเจน
- อย่าเก็บ Content ของ Email หรือ Chat (เก็บแค่ Metadata)
3. จำกัดระยะเวลาเก็บ
- เก็บอย่างน้อย 90 วันตามมาตรา 26 (กฎหมายกำหนดขั้นต่ำ ไม่ได้สั่งให้ลบเมื่อครบ 90 วัน) → ลบหรือ Anonymize เมื่อไม่มีเหตุต้องเก็บต่อ และอย่าลบข้อมูลที่เจ้าหน้าที่สั่งให้เก็บต่อ
- ถ้าต้องเก็บนานกว่า 90 วัน ต้องมีเหตุผลชัดเจน
4. เข้ารหัสและควบคุมการเข้าถึง
- ✅ เข้ารหัส Log (AES-128+)
- ✅ ใช้ RBAC — จำกัดคนที่ดู Log ได้
- ✅ มี Audit Log ว่าใครดู Log ของใคร
5. Anonymize เมื่อทำได้
- แปลง IP เป็น Range (192.168.1.x)
- Hash Username ในกรณีที่ไม่จำเป็นต้องค้นหาด้วยชื่อผู้ใช้จริง
6. รองรับสิทธิของเจ้าของข้อมูล
- ✅ สิทธิในการ เข้าถึง (Access) — เจ้าของข้อมูลขอดูได้
- ✅ สิทธิในการ ลบ (Erasure) — แต่ปฏิเสธได้ตราบที่ผู้ให้บริการยังต้องเก็บ Log นั้นตามมาตรา 26 (ฐานกฎหมาย)
⭐ zcrLog ช่วยปฏิบัติตาม PDPA
zcrLog มีคุณสมบัติที่ช่วยให้ปฏิบัติตาม PDPA:
- ✅ เข้ารหัส AES-128 สำหรับ Data at Rest
- ✅ RBAC 4 ระดับ — จำกัดการเข้าถึง Log
- ✅ Audit Log — บันทึกทุกการเข้าถึง
- ✅ Retention Policy — ตั้งค่าลบ Log อัตโนมัติ
- ✅ Hash Integrity — ตรวจพบการแก้ไข Log ที่ไม่ได้รับอนุญาต
📖 อ่านเพิ่มเติม: วิธีเก็บ Log ตาม พ.ร.บ. คอมฯ 2560
🎯 ดูรายละเอียด zcrLog →
📞 ปรึกษาฟรี
บทความที่เกี่ยวข้อง
อ่านต่อเพื่อเปรียบเทียบแนวทางและลงรายละเอียดที่เกี่ยวข้อง:
ผลิตภัณฑ์ที่เกี่ยวข้อง
อ่านรายละเอียด zcrLog เพื่อดูขอบเขตการใช้งาน ดูราคาที่เผยแพร่ได้ที่หน้าราคา และสิ่งที่ต้องเตรียมก่อนคุยกับพาร์ทเนอร์
แหล่งอ้างอิง