ผู้ประกอบการที่เก็บชื่อ ที่อยู่ หรือเบอร์โทรของลูกค้าไว้ในระบบบัญชี มีหน้าที่ต้องปฏิบัติตาม PDPA ทั้งนั้น แม้จะเป็นร้านเล็กๆ ที่ออกใบเสร็จรับเงินก็ตาม บทความนี้สรุปทุกเรื่องที่ SME ต้องรู้เกี่ยวกับกฎหมาย PDPA ตั้งแต่ข้อมูลส่วนบุคคลมีอะไรบ้าง บทลงโทษ ไปจนถึง Checklist เตรียมตัวให้ธุรกิจพร้อม
PDPA คืออะไร ย่อมาจากอะไร
PDPA ย่อมาจาก Personal Data Protection Act หรือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายที่กำหนดหลักเกณฑ์การเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคล เพื่อป้องกันไม่ให้ข้อมูลของประชาชนถูกนำไปใช้โดยไม่ได้รับอนุญาต
กฎหมายฉบับนี้ประกาศในราชกิจจานุเบกษาเมื่อวันที่ 27 พฤษภาคม 2562 และบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 โดยมีสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เป็นหน่วยงานกำกับดูแล
PDPA ใช้บังคับกับทุกองค์กรที่เก็บหรือใช้ข้อมูลส่วนบุคคลในประเทศไทย ไม่ว่าจะเป็นบริษัทขนาดใหญ่ ร้านค้าออนไลน์ สำนักงานบัญชี หรือฟรีแลนซ์ที่ออกใบแจ้งหนี้ให้ลูกค้า
ข้อมูลส่วนบุคคลตาม PDPA มีอะไรบ้าง
ข้อมูลส่วนบุคคลคือข้อมูลใดก็ตามที่สามารถระบุตัวตนของบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม แบ่งออกเป็น 2 ประเภทหลัก
ข้อมูลส่วนบุคคลทั่วไป
ข้อมูลที่ใช้ระบุตัวตนได้ เช่น ชื่อ-นามสกุล ที่อยู่ เบอร์โทรศัพท์ อีเมล เลขบัตรประชาชน เลขประจำตัวผู้เสียภาษี หมายเลขบัญชีธนาคาร รวมถึงข้อมูลออนไลน์อย่าง IP Address และ Cookie
ข้อมูลส่วนบุคคลอ่อนไหว (Sensitive Data)
ข้อมูลที่มีความละเอียดอ่อนและต้องได้รับความยินยอมอย่างชัดแจ้งก่อนเก็บรวบรวม ได้แก่ เชื้อชาติ ศาสนา ข้อมูลสุขภาพ ข้อมูลพันธุกรรม ข้อมูลชีวภาพ (เช่น ลายนิ้วมือ ใบหน้า) ความคิดเห็นทางการเมือง ประวัติอาชญากรรม และข้อมูลสหภาพแรงงาน
ข้อมูลทางบัญชีถือเป็นข้อมูลส่วนบุคคลไหม
ข้อมูลหลายรายการในงานบัญชีเข้าข่ายข้อมูลส่วนบุคคลตาม PDPA ตัวอย่างที่พบบ่อย ได้แก่
- ชื่อ-ที่อยู่ลูกค้าในใบกำกับภาษีและใบเสร็จรับเงิน
- เลขประจำตัวผู้เสียภาษีของบุคคลธรรมดา
- ข้อมูลพนักงานในระบบเงินเดือน เช่น เลขบัญชีธนาคาร เงินเดือน เลขบัตรประชาชน
- ข้อมูลผู้ติดต่อของคู่ค้าและซัพพลายเออร์
เลขทะเบียนนิติบุคคล 13 หลักของบริษัท ไม่ถือเป็นข้อมูลส่วนบุคคล เพราะเป็นข้อมูลของนิติบุคคล ไม่ใช่บุคคลธรรมดา
สิทธิของเจ้าของข้อมูลส่วนบุคคลตาม PDPA
PDPA ให้สิทธิเจ้าของข้อมูล 8 ประการ ดังนี้
- สิทธิในการเข้าถึง ขอสำเนาข้อมูลส่วนบุคคลของตัวเอง
- สิทธิในการแก้ไข ให้ข้อมูลถูกต้องและเป็นปัจจุบัน
- สิทธิในการลบ ขอให้ลบข้อมูลเมื่อไม่มีเหตุจำเป็นต้องเก็บ
- สิทธิในการระงับ ขอให้หยุดใช้ข้อมูลชั่วคราว
- สิทธิในการโอนย้าย ขอให้ส่งข้อมูลไปยังผู้ควบคุมรายอื่น
- สิทธิในการคัดค้าน ปฏิเสธไม่ให้ใช้ข้อมูลในบางกรณี
- สิทธิในการถอนความยินยอม เพิกถอนความยินยอมที่เคยให้ไว้ได้ทุกเมื่อ
- สิทธิในการร้องเรียน แจ้งเรื่องต่อ สคส. หากพบว่าถูกละเมิด
สำหรับ SME ที่เก็บข้อมูลลูกค้าในระบบบัญชี ต้องมีช่องทางให้ลูกค้าใช้สิทธิเหล่านี้ได้ เช่น อีเมลหรือแบบฟอร์มร้องขอ
PDPA มีบทลงโทษอย่างไร
ผู้ที่ฝ่าฝืน PDPA อาจถูกลงโทษทั้ง 3 ทาง ดังตาราง
| ประเภทโทษ | รายละเอียด | โทษสูงสุด |
|---|---|---|
| ทางแพ่ง | ชดเชยค่าเสียหายจริง + ค่าเสียหายเชิงลงโทษ | สูงสุด 2 เท่าของค่าเสียหายจริง |
| ทางอาญา | จำคุกและ/หรือปรับ กรณีเปิดเผยข้อมูลอ่อนไหวโดยไม่ชอบ | จำคุก 1 ปี และ/หรือปรับ 1 ล้านบาท |
| ทางปกครอง | สคส. สั่งปรับโดยไม่ต้องผ่านศาล | ปรับสูงสุด 5 ล้านบาท |
โทษทางปกครองคือโทษที่ SME ต้องระวังที่สุด เพราะ สคส. สามารถสั่งปรับได้เลยหากตรวจพบว่าธุรกิจไม่มีมาตรการคุ้มครองข้อมูลที่เหมาะสม (ข้อมูลจาก พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หมวด 7)
PDPA กับข้อมูลทางบัญชีและธุรกิจ สิ่งที่ SME ต้องรู้
งานบัญชีเกี่ยวข้องกับข้อมูลส่วนบุคคลทุกวัน ตั้งแต่ออกใบเสร็จจนถึงจ่ายเงินเดือน SME ต้องเข้าใจว่าข้อมูลไหนต้องดูแลเป็นพิเศษ
ข้อมูลลูกค้าในใบกำกับภาษีและใบเสร็จรับเงิน
ใบกำกับภาษีต้องระบุชื่อ ที่อยู่ และเลขประจำตัวผู้เสียภาษีของผู้ซื้อ ข้อมูลเหล่านี้เป็นข้อมูลส่วนบุคคลทั้งหมดหากผู้ซื้อเป็นบุคคลธรรมดา ธุรกิจสามารถเก็บข้อมูลเหล่านี้ได้โดยอาศัยฐาน “หน้าที่ตามกฎหมาย” (Legal Obligation) ตามประมวลรัษฎากร จึงไม่ต้องขอความยินยอมเพิ่มเติม
แต่ต้องระวังเรื่องการจัดเก็บ ไม่ปล่อยให้ข้อมูลรั่วไหลไปยังบุคคลที่ไม่เกี่ยวข้อง เช่น การวางใบกำกับภาษีไว้ในที่สาธารณะ หรือส่งอีเมลใบเสร็จผิดคน
ข้อมูลพนักงานในระบบเงินเดือนและบัญชี
ข้อมูลที่เก็บเพื่อจ่ายเงินเดือนและหัก ณ ที่จ่าย เช่น ชื่อ เลขบัตรประชาชน เลขบัญชีธนาคาร เงินเดือน ล้วนเป็นข้อมูลส่วนบุคคล ฐานที่ใช้เก็บคือ “สัญญาจ้างงาน” และ “ข้อกำหนดของกฎหมาย” เช่น พ.ร.บ.คุ้มครองแรงงาน ประกันสังคม และประมวลรัษฎากร
ข้อมูลสุขภาพของพนักงาน (เช่น ใบรับรองแพทย์) จัดเป็น Sensitive Data ต้องได้รับการยินยอมชัดแจ้งก่อนเก็บ
การจัดเก็บข้อมูลทางบัญชีให้ถูกต้องตาม PDPA
พ.ร.บ.การบัญชี พ.ศ. 2543 กำหนดให้เก็บเอกสารทางบัญชีอย่างน้อย 5 ปี ส่วนเอกสารภาษีต้องเก็บ 5 ปีตามประมวลรัษฎากร ระหว่างที่ยังเก็บอยู่ ธุรกิจต้องจัดให้มีมาตรการรักษาความปลอดภัยที่เหมาะสม เช่น
- จำกัดสิทธิ์การเข้าถึงเฉพาะคนที่เกี่ยวข้อง
- เข้ารหัสข้อมูลที่เก็บในระบบอิเล็กทรอนิกส์
- บันทึก log การเข้าถึงข้อมูล
เมื่อครบกำหนดเก็บรักษาแล้ว ต้องทำลายข้อมูลอย่างปลอดภัย ไม่ว่าจะเป็นเอกสารกระดาษหรือไฟล์ดิจิทัล
Consent คืออะไร เมื่อไรต้องขอ เมื่อไรไม่ต้อง
Consent หรือ ความยินยอม คือการที่เจ้าของข้อมูลอนุญาตให้เก็บ ใช้ หรือเปิดเผยข้อมูลของตน แต่ PDPA ไม่ได้บังคับให้ขอความยินยอมทุกกรณี มีฐานกฎหมายอีก 5 ข้อที่ใช้ประมวลผลข้อมูลได้โดยไม่ต้องขอ
| ฐานกฎหมาย | ตัวอย่างในงานบัญชี |
|---|---|
| สัญญา (Contract) | เก็บข้อมูลลูกค้าเพื่อส่งสินค้าตามคำสั่งซื้อ |
| หน้าที่ตามกฎหมาย (Legal Obligation) | ออกใบกำกับภาษี ยื่นภาษี หัก ณ ที่จ่าย |
| ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest) | ส่งใบแจ้งหนี้เตือนให้ชำระเงิน |
| ประโยชน์สาธารณะ (Public Interest) | หน่วยงานรัฐเก็บข้อมูลเพื่อจัดเก็บภาษี |
| ป้องกันอันตราย (Vital Interest) | กรณีฉุกเฉิน เช่น แจ้งข้อมูลแพ้ยาของพนักงาน |
| จัดทำเอกสารประวัติศาสตร์/วิจัย | ใช้ข้อมูลทำสถิติโดยไม่ระบุตัวตน |
สำหรับ SME ที่ทำบัญชี ข้อมูลส่วนใหญ่เก็บได้ด้วยฐาน “สัญญา” และ “กฎหมาย” โดยไม่ต้องขอความยินยอม แต่ถ้าต้องการนำข้อมูลลูกค้าไปทำการตลาด เช่น ส่งอีเมลโปรโมชัน ต้องขอความยินยอมแยกต่างหาก
Checklist ปฏิบัติตาม PDPA สำหรับ SME
สิ่งที่ SME ควรเตรียมเพื่อให้ธุรกิจพร้อมรับ PDPA
- จัดทำนโยบายคุ้มครองข้อมูลส่วนบุคคล (Privacy Policy) แจ้งให้ลูกค้าและพนักงานทราบว่าเก็บข้อมูลอะไร ใช้ทำอะไร เก็บนานเท่าไร
- สำรวจข้อมูลที่เก็บอยู่ (Data Mapping) ทำรายการว่ามีข้อมูลอะไรบ้าง เก็บไว้ที่ไหน ใครเข้าถึงได้
- กำหนดฐานกฎหมาย สำหรับข้อมูลแต่ละประเภท (ดูรายละเอียดฐานทั้ง 6 ข้อได้ในหัวข้อ Consent ด้านบน)
- จัดทำแบบฟอร์มขอความยินยอม สำหรับกิจกรรมที่ไม่มีฐานกฎหมายอื่นรองรับ เช่น การส่งข่าวสารหรือโปรโมชัน
- วางมาตรการรักษาความปลอดภัย จำกัดสิทธิ์เข้าถึง เข้ารหัสข้อมูล สำรองข้อมูลสม่ำเสมอ
- เตรียมช่องทางรับคำร้อง ให้ลูกค้าใช้สิทธิตาม PDPA ได้สะดวก เช่น อีเมลหรือแบบฟอร์มออนไลน์
- อบรมพนักงาน ให้เข้าใจหลักปฏิบัติเบื้องต้น เช่น ไม่แชร์ข้อมูลลูกค้าผ่าน LINE ส่วนตัว
สรุป
PDPA คือกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ทุกธุรกิจต้องปฏิบัติตาม ตั้งแต่ร้านเล็กจนถึงบริษัทใหญ่ สิ่งสำคัญคือ
- สำรวจว่าธุรกิจเก็บข้อมูลส่วนบุคคลอะไรบ้าง โดยเฉพาะในระบบบัญชีและเงินเดือน
- ใช้ฐานกฎหมายที่ถูกต้อง งานบัญชีส่วนใหญ่ไม่ต้องพึ่งความยินยอม เพราะมีฐานอื่นรองรับ
- วางมาตรการรักษาความปลอดภัยที่เหมาะสม โดยเฉพาะการจำกัดสิทธิ์เข้าถึงและเข้ารหัสข้อมูล
ทดลองใช้ PEAK ฟรี
PEAK โปรแกรมบัญชีออนไลน์ ใช้ระบบ Cloud ที่เข้ารหัสข้อมูลทุกชั้น กำหนดสิทธิ์ผู้ใช้งานได้หลายระดับ และบันทึก log การเข้าถึงอัตโนมัติ ช่วยให้ SME จัดเก็บข้อมูลลูกค้าและพนักงานได้อย่างปลอดภัย ตรงตามหลัก PDPA เริ่มสร้างธุรกิจ SMART วันนี้ ทดลองใช้ PEAK ฟรี
คำถามที่พบบ่อย เกี่ยวกับ PDPA
PDPA กับ GDPR ต่างกันอย่างไร?
PDPA คือกฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทย ส่วน GDPR คือกฎหมายของสหภาพยุโรป หลักการคล้ายกันแต่ GDPR มีโทษสูงกว่ามาก (ปรับสูงสุด 4% ของรายได้ทั่วโลก) SME ไทยที่ไม่มีลูกค้าใน EU ปฏิบัติตาม PDPA อย่างเดียวก็เพียงพอ
ข้อมูลลูกค้าหลุดไปก็ไม่ได้ตั้งใจ ยังผิด PDPA ไหม?
ผิดได้ เพราะ PDPA กำหนดให้ผู้ควบคุมข้อมูลต้องมี “มาตรการรักษาความปลอดภัยที่เหมาะสม” ถ้าข้อมูลรั่วเพราะไม่มีมาตรการป้องกัน ถือว่าประมาทเลินเล่อ อาจถูกปรับทางปกครองได้แม้ไม่มีเจตนา
ส่งอีเมลโปรโมชันให้ลูกค้าเก่าต้องขอ consent ใหม่ไหม?
ต้องขอ เพราะการส่งอีเมลการตลาดไม่ได้อยู่ในฐาน “สัญญา” หรือ “กฎหมาย” ต้องขอความยินยอมแยกต่างหาก และต้องมีช่องให้ลูกค้า unsubscribe ได้ทุกครั้ง ตรวจสอบแนวปฏิบัติเพิ่มเติมได้ที่เว็บไซต์ สคส.
ข้อมูลทางบัญชีต้องขอ consent ไหม
ไม่ต้อง เพราะมีฐานกฎหมายรองรับตามประมวลรัษฎากรและ พ.ร.บ.การบัญชีอยู่แล้ว ยกเว้นกรณีนำข้อมูลไปใช้นอกเหนือจากงานบัญชี เช่น ส่งโปรโมชัน ถึงต้องขอแยก
พนักงานลาออกแล้วต้องลบข้อมูลทันทีไหม?
ไม่ต้องลบทันที เพราะ พ.ร.บ.การบัญชีกำหนดให้เก็บเอกสารบัญชี 5 ปี และประมวลรัษฎากรกำหนดให้เก็บเอกสารภาษี 5 ปี ข้อมูลพนักงานที่เกี่ยวกับเงินเดือนและหัก ณ ที่จ่ายจึงต้องเก็บต่อจนครบกำหนดก่อนจึงทำลายได้
ทดลองใช้งานโปรแกรมบัญชี PEAK ฟรี! 30 วัน มูลค่า 1,200 บาท
คลิก https://www.peakaccount.com (ไม่มีค่าใช้จ่าย)
PEAK Call Center : 1485
LINE : @peakaccount
สอบถามเพิ่มเติม คลิก https://m.me/peakengine
About Author
