ตารางเก็บเอกสารตามกฎหมายไทย: ภาษี บัญชี แรงงาน ปปง. และ PDPA

1) ทำไมเลข “เก็บ 5 ปี” เลขเดียวใช้ไม่ได้: พื้นขั้นต่ำ เหตุให้เก็บต่อ และเพดานของ PDPA

อายุเก็บเอกสารที่ตรวจสอบได้ต้องตอบคำถาม 4 ข้อแยกกันทีละประเภทเอกสาร ข้อแรก กฎหมายใดบังคับให้เก็บ และขั้นต่ำกี่ปี ข้อสอง เริ่มนับจากเหตุการณ์ใด เช่น วันยื่นแบบ วันปิดบัญชี วันสิ้นสุดการจ้าง หรือวันยุติความสัมพันธ์กับลูกค้า ข้อสาม มีเหตุให้เก็บต่อเกินขั้นต่ำหรือไม่ เช่น ระยะเวลาที่หน่วยงานยังตรวจย้อนหลังได้ อายุความของสิทธิเรียกร้อง หรือข้อพิพาทที่เกิดขึ้นแล้ว ข้อสี่ เมื่อไม่มีเหตุใดเหลือแล้ว ข้อมูลส่วนบุคคลต้องถูกลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้

ข้อหนึ่งถึงสามเป็นเหตุผลให้เก็บ ส่วนข้อสี่เป็นเพดาน PDPA ม.37(3) ให้ผู้ควบคุมข้อมูลจัดให้มีระบบตรวจสอบเพื่อลบหรือทำลายข้อมูลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือเมื่อไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ และ ม.39(4) ให้บันทึกระยะเวลาการเก็บรักษาไว้ในบันทึกรายการกิจกรรมการประมวลผล (ROPA) ดังนั้นเอกสารที่ “เก็บไว้ทุกอย่างตลอดไปเผื่อใช้” ก็เสี่ยงพอ ๆ กับเอกสารที่ทิ้งเร็วเกิน

หลักที่ใช้ในทางปฏิบัติคือ เมื่อเอกสารชิ้นเดียวอยู่ใต้กฎหมายหลายฉบับ ให้ใช้วันที่ครบช้าที่สุดของทุกฐาน แล้วจึงตั้งวันทบทวนก่อนทำลาย เช่น สลิปเงินเดือนเป็นทั้งเอกสารการจ่ายค่าจ้างตามกฎหมายแรงงานและเอกสารประกอบการลงบัญชี จึงไม่จบที่ 2 ปีตามกฎหมายแรงงาน

• •ฐานบังคับเก็บ: ตัวบทที่ระบุหน้าที่เก็บ ขั้นต่ำ และผู้มีอำนาจสั่งขยาย
• •จุดเริ่มนับ: เหตุการณ์ที่ตัวบทกำหนด ไม่ใช่วันที่สร้างไฟล์หรือวันที่สแกน
• •เหตุให้เก็บต่อ: ช่วงที่หน่วยงานยังตรวจได้ อายุความ คำร้อง หรือคดีที่เกิดขึ้นจริง
• •เพดาน PDPA: หมดทุกเหตุแล้วต้องลบ ทำลาย หรือทำให้ระบุตัวไม่ได้ พร้อมบันทึกการดำเนินการ

2) ตารางขั้นต่ำที่อ่านจากตัวบท: ใครต้องเก็บ เริ่มนับวันไหน และใครสั่งขยาย

รายการด้านล่างเป็นหน้าที่ที่ตรวจกับตัวบทฉบับใช้บังคับแล้ว ใช้เป็นแถวแรกของตารางเก็บเอกสารได้ แต่ธุรกิจที่มีกฎหมายเฉพาะ เช่น สถาบันการเงิน บริษัทหลักทรัพย์ ประกันภัย หรือผู้ได้รับการส่งเสริมการลงทุน ต้องเพิ่มแถวตามกฎหมายของหน่วยงานกำกับตนเอง

ข้อควรสังเกตคือขั้นต่ำของภาษีมูลค่าเพิ่มนับจากวันยื่นแบบหรือวันทำรายงาน ส่วนขั้นต่ำของบัญชีนับจากวันปิดบัญชี เอกสารชุดเดียวกันจึงอาจครบกำหนดคนละวัน และการเลิกกิจการมีกติกาเฉพาะของแต่ละกฎหมาย

• •รายงานภาษีซื้อ รายงานภาษีขาย ใบกำกับภาษี สำเนาใบกำกับภาษี และเอกสารประกอบการลงรายงาน: ไม่น้อยกว่า 5 ปีนับแต่วันยื่นแบบหรือวันทำรายงาน อธิบดีสั่งให้เก็บเกิน 5 ปีได้แต่ไม่เกิน 7 ปี และเมื่อเลิกประกอบกิจการให้เก็บเอกสารที่มีหน้าที่เก็บอยู่ในวันเลิกต่อไปอีก 2 ปี (ประมวลรัษฎากร ม.87/3)
• •บัญชีและเอกสารที่ต้องใช้ประกอบการลงบัญชี: ไม่น้อยกว่า 5 ปีนับแต่วันปิดบัญชี หรือจนกว่าจะส่งมอบตามมาตรา 17 อธิบดีโดยความเห็นชอบของรัฐมนตรีกำหนดให้กิจการบางประเภทเก็บเกิน 5 ปีได้แต่ไม่เกิน 7 ปี (พ.ร.บ.การบัญชี 2543 ม.14)
• •ทะเบียนลูกจ้าง: ไม่น้อยกว่า 2 ปีนับแต่วันสิ้นสุดการจ้างลูกจ้างแต่ละราย หลักฐานการจ่ายค่าจ้าง ค่าล่วงเวลา และเงินที่จ่ายสำหรับงานในวันหยุด: ไม่น้อยกว่า 2 ปีนับแต่วันจ่าย ถ้ามีคำร้องต่อพนักงานตรวจแรงงาน ข้อพิพาทแรงงาน หรือคดีแรงงาน ต้องเก็บจนกว่าคำสั่งหรือคำพิพากษาถึงที่สุด (พ.ร.บ.คุ้มครองแรงงาน 2541 ม.115)
• •ข้อมูลรู้จักและตรวจสอบลูกค้า (CDD ตามมาตรา 20/1) ของผู้มีหน้าที่รายงานตามมาตรา 13 และ 16: 10 ปีนับแต่ปิดบัญชีหรือยุติความสัมพันธ์ เลขาธิการ ปปง. แจ้งเป็นหนังสือให้เก็บรายลูกค้าต่อได้อีกไม่เกิน 5 ปี (พ.ร.บ.ป้องกันและปราบปรามการฟอกเงิน ม.22/1)
• •รายละเอียดการแสดงตนของลูกค้าสถาบันการเงิน: 5 ปีนับแต่ปิดบัญชีหรือยุติความสัมพันธ์ และรายละเอียดการทำธุรกรรม: 5 ปีนับแต่ทำธุรกรรมหรือบันทึกข้อเท็จจริง เว้นแต่พนักงานเจ้าหน้าที่แจ้งเป็นอย่างอื่น (ม.22)
• •สมุดบัญชีและเอกสารของห้างหุ้นส่วนหรือบริษัทที่ชำระบัญชีเสร็จ: ผู้ชำระบัญชีมอบให้นายทะเบียนภายใน 14 วัน และนายทะเบียนเก็บไว้ 10 ปีนับแต่วันชำระบัญชีเสร็จ (ป.พ.พ. ม.1271)
• •ข้อมูลส่วนบุคคลที่ไม่มีกฎหมายบังคับเก็บ: เก็บได้เท่าที่จำเป็นตามวัตถุประสงค์ ต้องระบุระยะเวลาใน ROPA และต้องมีระบบลบหรือทำลายเมื่อพ้นกำหนด (PDPA ม.37(3) และ ม.39(4))

• กรมสรรพากร — ประมวลรัษฎากร มาตรา 87 ถึง 90 (รวมมาตรา 87/3)
• ตัวบท พ.ร.บ.การบัญชี ฉบับ PDF ที่กรมพัฒนาธุรกิจการค้าเผยแพร่
• สำนักงาน ปปง. — คู่มือ CDD สำหรับผู้มีหน้าที่รายงาน (ต.ค. 2564)

3) ภาษีและบัญชี: ครบ 5 ปีตามกฎหมายแล้ว แต่ช่วงตรวจของสรรพากรอาจยังไม่ปิด

ประมวลรัษฎากร ม.19 ให้เจ้าพนักงานประเมินออกหมายเรียกผู้ยื่นรายการมาไต่สวนและสั่งให้นำบัญชีเอกสารมาแสดงได้ภายใน 2 ปีนับแต่วันยื่นรายการ และถ้ามีหลักฐานหรือเหตุอันควรสงสัยว่ามีเจตนาหลีกเลี่ยงภาษี หรือเป็นกรณีจำเป็นเพื่อคืนภาษี อธิบดีอนุมัติขยายได้แต่ไม่เกิน 5 ปีนับแต่วันยื่นรายการ เมื่อปีบัญชีปิดก่อนวันยื่นแบบภาษีเงินได้นิติบุคคลหลายเดือน วันที่ครบ 5 ปีตามกฎหมายบัญชีจึงมักมาถึงก่อนวันที่ช่วงหมายเรียกขยายจะปิด

ถ้ามีการประเมินภาษีไปแล้ว สิทธิเรียกร้องของรัฐในค่าภาษีอากรมีอายุความ 10 ปีตาม ป.พ.พ. ม.193/31 เอกสารของปีที่ถูกประเมิน อุทธรณ์ หรือผ่อนชำระจึงควรถูกระงับการทำลายทั้งชุดจนเรื่องจบ ไม่ใช่ทำลายตามรอบปกติ

ตัวอย่าง A (ภาษีมูลค่าเพิ่ม): รายงานภาษีและใบกำกับภาษีของเดือนมกราคม 2570 ยื่น ภ.พ.30 วันที่ 15 กุมภาพันธ์ 2570 ขั้นต่ำ 5 ปีนับแต่วันยื่นจึงครบวันที่ 15 กุมภาพันธ์ 2575 ถ้าอธิบดีสั่งให้เก็บ 7 ปี จะครบวันที่ 15 กุมภาพันธ์ 2577 การยื่นเพิ่มเติมภายหลังให้บันทึกวันที่ยื่นจริงของแต่ละฉบับไว้ในตาราง เพราะใช้เป็นจุดเริ่มนับ

ตัวอย่าง B (บัญชีกับช่วงหมายเรียก): บริษัทปิดบัญชีวันที่ 31 ธันวาคม 2569 ขั้นต่ำตาม พ.ร.บ.การบัญชีครบวันที่ 31 ธันวาคม 2574 ถ้ายื่น ภ.ง.ด.50 วันที่ 30 พฤษภาคม 2570 ซึ่งเป็นวันที่ 150 นับจากวันปิดบัญชี ช่วงหมายเรียกปกติ 2 ปีจะปิดวันที่ 30 พฤษภาคม 2572 และช่วงที่อธิบดีขยายได้สูงสุด 5 ปีจะปิดวันที่ 30 พฤษภาคม 2575 ช้ากว่าขั้นต่ำทางบัญชี 151 วัน รอบทำลายที่ปลอดภัยของเอกสารปีนี้จึงควรเริ่มหลังวันที่ 30 พฤษภาคม 2575

• •บันทึกวันยื่นแบบจริงของ ภ.พ.30 ภ.ง.ด.50 และ ภ.ง.ด.51 ไว้คู่กับชุดเอกสาร
• •แยกชุดเอกสารที่มีการขอคืนภาษีหรือถูกตรวจออกจากรอบทำลายปกติ
• •ตรวจหนังสือสั่งขยายเวลาเก็บของอธิบดีกรมสรรพากรหรือกรมพัฒนาธุรกิจการค้าก่อนทำลายทุกครั้ง
• •เอกสารที่ใช้คำนวณค่าเสื่อมราคาของทรัพย์สินระยะยาวควรเก็บตามอายุทรัพย์สินบวกช่วงตรวจ ไม่ใช่ตามปีที่ซื้อ

• กรมสรรพากร — คำพิพากษาฎีกาเกี่ยวกับการขยายเวลาหมายเรียกตามมาตรา 19

4) เอกสารลูกจ้าง: 2 ปีตามกฎหมายแรงงานเป็นเพียงขั้นต่ำของฐานหนึ่ง

มาตรา 115 แยกเอกสาร 2 กลุ่มและจุดเริ่มนับ 2 แบบ ทะเบียนลูกจ้างนับจากวันสิ้นสุดการจ้างของแต่ละคน เอกสารการจ่ายเงินนับจากวันจ่ายแต่ละงวด และเมื่อมีคำร้อง ข้อพิพาทแรงงาน หรือคดีแรงงาน หน้าที่เก็บขยายออกไปจนคำสั่งหรือคำพิพากษาถึงที่สุดโดยอัตโนมัติ ไม่ต้องรอให้หน่วยงานสั่ง

เอกสารเงินเดือน สลิป และรายงานการจ่ายเป็นหลักฐานของรายจ่ายในงบการเงินด้วย จึงอยู่ใต้ พ.ร.บ.การบัญชี ม.14 อีกฐานหนึ่ง ส่วนเอกสารที่ไม่ใช่หลักฐานทางบัญชี เช่น สำเนาบัตรของผู้สมัครที่ไม่ได้รับเลือก ผลประเมินงาน หรือบันทึกการลา ไม่มีฐานบัญชีมารองรับ จึงต้องตั้งอายุจากความจำเป็นจริงและบันทึกเหตุผลใน ROPA

ตัวอย่าง C: ลูกจ้างลาออกมีผลวันที่ 31 มีนาคม 2570 และได้รับค่าจ้างงวดสุดท้ายในวันเดียวกัน ทะเบียนลูกจ้างและเอกสารการจ่ายงวดนั้นครบขั้นต่ำตามกฎหมายแรงงานวันที่ 31 มีนาคม 2572 แต่รายจ่ายค่าจ้างอยู่ในปีบัญชีที่ปิดวันที่ 31 ธันวาคม 2570 ขั้นต่ำทางบัญชีจึงครบวันที่ 31 ธันวาคม 2575 ชุดเงินเดือนต้องเก็บถึงวันหลัง ถ้าลูกจ้างยื่นคำร้องต่อพนักงานตรวจแรงงานวันที่ 1 กุมภาพันธ์ 2572 ทะเบียนและเอกสารการจ่ายของลูกจ้างรายนั้นต้องเก็บจนคำสั่งหรือคำพิพากษาถึงที่สุด แม้จะเลยวันที่ครบ 2 ปีไปแล้ว

• •แยกแฟ้มลูกจ้างเป็นชุดทะเบียน ชุดการจ่ายเงิน และชุดบริหารงานบุคคล เพราะครบกำหนดต่างกัน
• •ผู้สมัครงานที่ไม่ได้รับเลือก: ตั้งอายุสั้นตามความจำเป็นของการคัดเลือกและแจ้งไว้ในประกาศความเป็นส่วนตัว
• •ข้อมูลสุขภาพจากการตรวจก่อนเข้างานเป็นข้อมูลอ่อนไหวตาม PDPA ม.26 ควรจำกัดผู้เข้าถึงและแยกจากแฟ้มทั่วไป

5) ธุรกิจที่มีกฎหมายเฉพาะ: ข้อมูล CDD ตามกฎหมายฟอกเงิน และเวชระเบียน

ผู้มีหน้าที่รายงานตามกฎหมายฟอกเงินไม่ได้มีแค่ธนาคาร มาตรา 16 รวมผู้ประกอบอาชีพหลายกลุ่ม เช่น ธุรกิจค้าอัญมณีและทองคำ ค้าหรือเช่าซื้อรถยนต์ นายหน้าหรือตัวแทนซื้อขายอสังหาริมทรัพย์ และค้าของเก่า ตามรายการที่กฎหมายและกฎกระทรวงกำหนด ธุรกิจเหล่านี้ใช้อายุ 10 ปีตามมาตรา 22/1 สำหรับข้อมูล CDD ซึ่งยาวกว่าขั้นต่ำทางบัญชีมาก การตั้งอายุเดียวทั้งบริษัทจึงทำให้ข้อมูล CDD ถูกทำลายเร็วเกิน

ตัวอย่าง D: ผู้มีหน้าที่รายงานยุติความสัมพันธ์กับลูกค้าวันที่ 30 กันยายน 2570 ข้อมูล CDD ของลูกค้ารายนั้นต้องเก็บถึงวันที่ 30 กันยายน 2580 ถ้าก่อนครบกำหนดเลขาธิการ ปปง. แจ้งเป็นหนังสือให้เก็บต่อเต็มเพดาน 5 ปี จะครบวันที่ 30 กันยายน 2585 การขยายนี้เป็นรายลูกค้า จึงต้องติดสถานะไว้ที่ระเบียนของลูกค้ารายนั้น ไม่ใช่ขยายทั้งฐานข้อมูล

สถานพยาบาลมีหน้าที่ตาม พ.ร.บ.สถานพยาบาล 2541 ที่ให้ผู้รับอนุญาตและผู้ดำเนินการจัดทำและเก็บเอกสารเกี่ยวกับผู้ป่วยไว้ในสภาพที่ตรวจสอบได้ไม่น้อยกว่า 5 ปี ก่อนตั้งตารางให้ตรวจจุดเริ่มนับจากฉบับปัจจุบันที่กรมสนับสนุนบริการสุขภาพเผยแพร่ และตรวจข้อบังคับสภาวิชาชีพที่เกี่ยวข้อง ข้อมูลสุขภาพยังเป็นข้อมูลอ่อนไหวตาม PDPA ม.26 และเป็นความลับตาม พ.ร.บ.สุขภาพแห่งชาติ 2550 ม.7 จึงต้องคุมทั้งการเก็บและการเข้าถึง

6) PDPA สิทธิขอลบ และการระงับการทำลายเมื่อมีข้อพิพาท

มาตรา 33 ให้เจ้าของข้อมูลขอให้ลบ ทำลาย หรือทำให้ระบุตัวไม่ได้ เมื่อหมดความจำเป็น เมื่อถอนความยินยอมและผู้ควบคุมไม่มีฐานอื่น เมื่อคัดค้านตามมาตรา 32 หรือเมื่อเก็บโดยไม่ชอบ แต่วรรคสองยกเว้นการเก็บเพื่อปฏิบัติตามกฎหมาย และการเก็บไว้เพื่อตั้งข้อเรียกร้องหรือแก้ข้อเรียกร้องทางกฎหมาย ลูกค้าจึงขอให้ลบใบกำกับภาษีที่ยังอยู่ในขั้นต่ำ 5 ปีไม่ได้ แต่ผู้ควบคุมควรจำกัดการใช้ข้อมูลชุดนั้นเหลือเพียงเพื่อหน้าที่ตามกฎหมาย และแจ้งเหตุผลเป็นหนังสือ

อายุความไม่ใช่ 10 ปีทุกเรื่อง ป.พ.พ. ม.193/30 กำหนด 10 ปีเฉพาะกรณีที่ไม่มีบทบัญญัติเฉพาะ ส่วน ม.193/34 กำหนด 2 ปีสำหรับสิทธิเรียกร้องหลายประเภท เช่น ผู้ประกอบการค้าเรียกค่าสินค้าที่ส่งมอบ แต่ถ้าการซื้อนั้นทำเพื่อกิจการของลูกหนี้เอง ม.193/33(5) ให้ใช้ 5 ปี ตารางเก็บสัญญาจึงต้องระบุชนิดของสิทธิเรียกร้องที่เอกสารนั้นใช้พิสูจน์ แทนการใช้ 10 ปีกับสัญญาทุกฉบับ

ตัวอย่าง E (ถอนความยินยอมทางการตลาด): ลูกค้าถอนความยินยอมรับข่าวสารวันที่ 10 มกราคม 2570 และบริษัทไม่มีฐานอื่นสำหรับการตลาด ข้อมูลที่เก็บเพื่อการตลาดอย่างเดียวต้องเข้าคิวลบ แต่ประวัติการซื้อและใบกำกับภาษียังอยู่ใต้ขั้นต่ำทางภาษีและบัญชีต่อไป ในทางปฏิบัติหลายองค์กรเก็บรายการระงับการส่งที่มีข้อมูลน้อยที่สุดเท่าที่จำเป็น เพื่อไม่ให้ส่งข้อความซ้ำ ควรอธิบายฐานของรายการนี้ไว้ใน ROPA

ตัวอย่าง F (ระงับการทำลาย): เอกสารปีบัญชี 2569 ถูกกำหนดเข้ารอบทำลายหลังวันที่ 30 พฤษภาคม 2575 ตามตัวอย่าง B แต่บริษัทได้รับหนังสือทวงถามจากคู่ค้าเกี่ยวกับสัญญาปี 2569 ในวันที่ 1 มีนาคม 2575 ฝ่ายกฎหมายต้องออกคำสั่งระงับการทำลายเฉพาะเอกสารที่เกี่ยวกับคู่ค้ารายนั้นทันที และปลดคำสั่งเมื่อข้อพิพาทจบเป็นหนังสือ เอกสารอื่นของปีเดียวกันยังเข้ารอบทำลายตามปกติได้

• ตัวบท PDPA ในราชกิจจานุเบกษา เล่ม 136 ตอนที่ 69 ก

7) สแกนแทนต้นฉบับ วิธีทำลาย และหลักฐานที่ควรเหลือหลังทำลาย

พ.ร.บ.ธุรกรรมทางอิเล็กทรอนิกส์ ม.12 ถือว่าการเก็บในรูปข้อมูลอิเล็กทรอนิกส์เป็นการเก็บตามที่กฎหมายต้องการ ถ้าเข้าถึงและนำกลับมาใช้ได้โดยความหมายไม่เปลี่ยน เก็บในรูปแบบที่เป็นอยู่ขณะสร้าง ส่ง หรือรับ หรือแสดงข้อความได้อย่างถูกต้อง และเก็บข้อความที่ระบุแหล่งกำเนิด ต้นทาง ปลายทาง และวันเวลาที่ส่งหรือรับถ้ามี ส่วนเอกสารกระดาษที่แปลงเป็นไฟล์ภายหลังอยู่ใต้ ม.12/1 ซึ่งต้องทำตามหลักเกณฑ์และวิธีการที่คณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์กำหนด และวรรคท้ายของ ม.12 ยังให้หน่วยงานรัฐที่ดูแลเอกสารนั้นกำหนดรายละเอียดเพิ่มได้ ก่อนทำลายต้นฉบับกระดาษจึงต้องตรวจทั้งเกณฑ์ของคณะกรรมการและประกาศของกรมสรรพากรหรือกรมพัฒนาธุรกิจการค้าสำหรับเอกสารประเภทนั้น

ค่า hash และ timestamp เป็นวิธีพิสูจน์ความครบถ้วนที่ดี แต่ไม่ใช่เงื่อนไขที่ตัวบทเขียนไว้ และการมี hash อย่างเดียวไม่ทำให้การแปลงเอกสารผ่านเกณฑ์ ม.12/1 ส่วนการทำลายควรเหมาะกับสื่อ เช่น ย่อยกระดาษด้วยวิธีที่ประกอบคืนไม่ได้ ลบไฟล์พร้อมสำเนาสำรองตามรอบการหมุนเวียนของระบบสำรอง และให้ผู้รับจ้างทำลายออกหนังสือรับรอง ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่องมาตรการรักษาความมั่นคงปลอดภัย 2565 ให้มาตรการครอบคลุมข้อมูลทุกรูปแบบทั้งเอกสารและอิเล็กทรอนิกส์

หลักฐานที่ควรเหลือหลังทำลายคือบันทึกการทำลาย ไม่ใช่ตัวข้อมูล บันทึกควรมีประเภทเอกสาร ช่วงปี ฐานกฎหมายที่ครบ วันอนุมัติ ผู้อนุมัติ วิธีทำลาย และยืนยันว่าไม่มีคำสั่งระงับค้างอยู่ บันทึกนี้ใช้ตอบทั้งผู้ตรวจและเจ้าของข้อมูลที่ถามว่าข้อมูลของตนถูกจัดการอย่างไร

• •ทบทวนตารางอย่างน้อยปีละครั้ง และทุกครั้งที่มีกฎหมายหรือประกาศใหม่
• •ให้ฝ่ายบัญชี ฝ่ายบุคคล และฝ่ายกฎหมายลงชื่อรับรองรายการก่อนทำลายแต่ละรอบ
• •รวมผู้ประมวลผลข้อมูลภายนอก เช่น คลาวด์และผู้ทำบัญชี ไว้ในรอบทำลาย และขอหนังสือยืนยันการลบ

• กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม — พ.ร.บ.ว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ 2544 (คำแปลอย่างไม่เป็นทางการ)
• สคส. — ประกาศมาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล 2565