กฎหมาย / Compliance
ตารางเก็บเอกสารตาม PDPA + ประมวลรัษฎากร: สูตรตัดเอกสารทิ้งอย่างถูกต้องในปี 2570
เจ้าของธุรกิจส่วนใหญ่จะจำอายุการเก็บเอกสารได้เพียง '5 ปี' และเก็บทุกอย่างไว้เท่ากันหมด แต่ในปี 2570 หลัง PDPC ออกแนวปฏิบัติเรื่อง storage limitation ฉบับปรับปรุง การเก็บเกินอายุถือเป็นการละเมิดหลัก 'data minimisation' ทันที บทความนี้เรียบเรียงตารางจริงจากการทำ Record Retention Policy ให้ลูกค้าโรงพยาบาลเอกชนและร้าน e-commerce ใน Q1/2570
หลักการ 3 ขั้น: statutory floor, business need, disposal trigger
ก่อนกำหนดว่าเอกสารใดจะเก็บกี่ปี ให้แยกเป็น 3 ขั้น — ขั้นแรกคือระยะเวลาขั้นต่ำตามกฎหมาย (statutory floor) เช่นบัญชีต้องเก็บ 5 ปีตาม พ.ร.บ. การบัญชี ขั้นที่สองคือความจำเป็นทางธุรกิจ (business need) เช่นสัญญาที่ยังใช้บังคับ และขั้นที่สามคือ trigger การทำลาย เช่นสิ้นสุดปีปฏิทินที่ต่อจากอายุขั้นต่ำ
ตารางอายุตามกฎหมายไทย 6 ฉบับหลัก
รวบรวมจากการอัปเดตกฎหมายถึง มี.ค. 2570 พร้อมช่องระบุจุดเริ่มนับ (date of trigger) ที่มักถูกลืม
- •ใบกำกับภาษี / รายงานภาษีซื้อ-ขาย: 5 ปีนับจากวันยื่นแบบ (ประมวลรัษฎากร ม.87/3)
- •สมุดบัญชี, งบการเงิน, เอกสารประกอบ: 5 ปีนับจากวันปิดบัญชี (พ.ร.บ.การบัญชี ม.14)
- •เอกสารลูกจ้าง: 2 ปีหลังพ้นสภาพ (พ.ร.บ.คุ้มครองแรงงาน ม.115)
- •รายงาน CDD ตาม ปปง.: 5 ปีหลังปิดบัญชี หรือ 10 ปีสำหรับ high-risk
- •เวชระเบียน: 10 ปีหลังการรักษาครั้งสุดท้าย (พ.ร.บ.สุขภาพแห่งชาติ)
- •ข้อมูลส่วนบุคคลทั่วไป: 'เท่าที่จำเป็นเพื่อวัตถุประสงค์' (PDPA ม.37(3))
จุดที่คนพลาดที่สุด: อายุความ vs อายุเก็บ
อายุความฟ้องค่าเสียหายจากสัญญาคือ 10 ปี (ป.พ.พ. ม.193/30) หมายความว่าแม้กฎหมายภาษีจะให้ทิ้งเอกสารได้หลัง 5 ปี แต่ถ้าเป็นสัญญาที่อาจมีข้อพิพาท ควรเก็บ 10 ปีเพื่อพิสูจน์ในศาล จุดสมดุลคือแยกกล่องเป็น 5+5 ปี
Disposal trigger + audit log ที่ PDPC อยากเห็น
PDPC ตรวจ 3 อย่าง: (1) นโยบายเก็บเอกสารเป็นลายลักษณ์อักษร (2) log การทำลายที่ระบุวัน วิธี ผู้อนุมัติ และ (3) วิธีทำลายเชิงเทคนิค (shredding P-4 สำหรับกระดาษ, cryptographic erase สำหรับ SSD) การทิ้งลงถังธรรมดาถือเป็น breach ตาม ม.83
สรุป
การกำหนดระยะเวลาเก็บเอกสารตามประเภทและฐานกฎหมายอาจช่วยลดการเก็บข้อมูลเกินความจำเป็นและสนับสนุนการปฏิบัติตาม PDPA ควรจัดทำ Retention Schedule, SOP และ Disposal Log ให้เหมาะกับระบบงาน โดยกำหนดขอบเขตงานและระยะเวลาดำเนินการหลังประเมินเอกสาร
แหล่งอ้างอิงทางการ
ข้อมูลกฎหมายและภาษีเปลี่ยนแปลงได้ โปรดตรวจสอบกับหน่วยงานหรือปรึกษาทีมเราก่อนตัดสินใจ
คำถามที่พบบ่อย
เก็บ scan แทนต้นฉบับได้ไหม+
ได้ตาม พ.ร.บ.ธุรกรรมทางอิเล็กทรอนิกส์ ม.12 ถ้ามี hash + timestamp และเก็บ log การแปลง
ลูกค้าเก่าที่ไม่ติดต่อ 3 ปี ต้องลบเลยไหม+
ไม่จำเป็น ถ้ายังมี business need เช่น warranty หรือข้อผูกพันตามสัญญา แต่ต้องมีเหตุผลบันทึกไว้ใน ROPA
บทความที่เกี่ยวข้อง
ดูทั้งหมด →เชนงาน Notary → MFA → สถานทูต: ตารางเวลา 5 วันทำการที่ใช้ได้จริง
ตารางขั้นตอนตัวอย่างจาก Notary ที่สาขาสีลมถึงสถานทูตออสเตรเลีย พร้อมค่าใช้จ่ายและจุดที่มักติดขัด
ตอบคำขอเข้าถึงข้อมูลตาม PDPA ให้ทัน 30 วัน: ขั้นตอนสำหรับ SME
พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล มาตรา 30 ให้ผู้ควบคุมข้อมูลดำเนินการตามคำขอภายใน 30 วันนับแต่ได้รับคำขอ บทความนี้สรุปขั้นตอนที่ธุรกิจขนาดเล็กทำได้จริง
กรรมการบริษัทจำกัดต้องรับผิดส่วนตัวเมื่อใด: 5 เรื่องที่ควรรู้
บริษัทจำกัดแยกหนี้บริษัทออกจากทรัพย์สินส่วนตัวของกรรมการ แต่มีบางกรณีที่กฎหมายให้กรรมการรับผิดเป็นส่วนตัว บทความนี้สรุปกรณีหลักพร้อมมาตราอ้างอิง