กฎหมาย / Compliance
ตารางเก็บเอกสารตาม PDPA + ประมวลรัษฎากร: สูตรตัดเอกสารทิ้งอย่างถูกต้องในปี 2570
เจ้าของธุรกิจส่วนใหญ่จะจำอายุการเก็บเอกสารได้เพียง '5 ปี' และเก็บทุกอย่างไว้เท่ากันหมด แต่ในปี 2570 หลัง PDPC ออกแนวปฏิบัติเรื่อง storage limitation ฉบับปรับปรุง การเก็บเกินอายุถือเป็นการละเมิดหลัก 'data minimisation' ทันที บทความนี้เรียบเรียงตารางจริงจากการทำ Record Retention Policy ให้ลูกค้าโรงพยาบาลเอกชนและร้าน e-commerce ใน Q1/2570
หลักการ 3 ขั้น: statutory floor, business need, disposal trigger
ก่อนกำหนดว่าเอกสารใดจะเก็บกี่ปี ให้แยกเป็น 3 ขั้น — ขั้นแรกคือระยะเวลาขั้นต่ำตามกฎหมาย (statutory floor) เช่นบัญชีต้องเก็บ 5 ปีตาม พ.ร.บ. การบัญชี ขั้นที่สองคือความจำเป็นทางธุรกิจ (business need) เช่นสัญญาที่ยังใช้บังคับ และขั้นที่สามคือ trigger การทำลาย เช่นสิ้นสุดปีปฏิทินที่ต่อจากอายุขั้นต่ำ
ตารางอายุตามกฎหมายไทย 6 ฉบับหลัก
รวบรวมจากการอัปเดตกฎหมายถึง มี.ค. 2570 พร้อมช่องระบุจุดเริ่มนับ (date of trigger) ที่มักถูกลืม
- •ใบกำกับภาษี / รายงานภาษีซื้อ-ขาย: 5 ปีนับจากวันยื่นแบบ (ประมวลรัษฎากร ม.87/3)
- •สมุดบัญชี, งบการเงิน, เอกสารประกอบ: 5 ปีนับจากวันปิดบัญชี (พ.ร.บ.การบัญชี ม.14)
- •เอกสารลูกจ้าง: 2 ปีหลังพ้นสภาพ (พ.ร.บ.คุ้มครองแรงงาน ม.115)
- •รายงาน CDD ตาม ปปง.: 5 ปีหลังปิดบัญชี หรือ 10 ปีสำหรับ high-risk
- •เวชระเบียน: 10 ปีหลังการรักษาครั้งสุดท้าย (พ.ร.บ.สุขภาพแห่งชาติ)
- •ข้อมูลส่วนบุคคลทั่วไป: 'เท่าที่จำเป็นเพื่อวัตถุประสงค์' (PDPA ม.37(3))
จุดที่คนพลาดที่สุด: อายุความ vs อายุเก็บ
อายุความฟ้องค่าเสียหายจากสัญญาคือ 10 ปี (ป.พ.พ. ม.193/30) หมายความว่าแม้กฎหมายภาษีจะให้ทิ้งเอกสารได้หลัง 5 ปี แต่ถ้าเป็นสัญญาที่อาจมีข้อพิพาท ควรเก็บ 10 ปีเพื่อพิสูจน์ในศาล จุดสมดุลคือแยกกล่องเป็น 5+5 ปี
Disposal trigger + audit log ที่ PDPC อยากเห็น
PDPC ตรวจ 3 อย่าง: (1) นโยบายเก็บเอกสารเป็นลายลักษณ์อักษร (2) log การทำลายที่ระบุวัน วิธี ผู้อนุมัติ และ (3) วิธีทำลายเชิงเทคนิค (shredding P-4 สำหรับกระดาษ, cryptographic erase สำหรับ SSD) การทิ้งลงถังธรรมดาถือเป็น breach ตาม ม.83
สรุป
การเปลี่ยนจาก 'เก็บทุกอย่าง 10 ปี' เป็น 'schedule based' ช่วยลดพื้นที่จัดเก็บ 40–60% และตัดความเสี่ยง PDPA แบบก้าวกระโดด ทีมเราให้บริการเขียน Retention Schedule + SOP + Disposal Log เริ่ม 45,000 บาท ส่งมอบใน 2 สัปดาห์
ปรึกษาทีมเราฟรีคำถามที่พบบ่อย
เก็บ scan แทนต้นฉบับได้ไหม+
ได้ตาม พ.ร.บ.ธุรกรรมทางอิเล็กทรอนิกส์ ม.12 ถ้ามี hash + timestamp และเก็บ log การแปลง
ลูกค้าเก่าที่ไม่ติดต่อ 3 ปี ต้องลบเลยไหม+
ไม่จำเป็น ถ้ายังมี business need เช่น warranty หรือข้อผูกพันตามสัญญา แต่ต้องมีเหตุผลบันทึกไว้ใน ROPA
บทความที่เกี่ยวข้อง
ดูทั้งหมด →เชนงาน Notary → MFA → สถานทูต: ตารางเวลา 5 วันทำการที่ใช้ได้จริง
ตารางวันต่อวันจากเคสจริงปี 2568 — จาก Notary ที่สาขาสีลมถึงสถานทูตออสเตรเลีย พร้อมค่าใช้จ่ายและจุดที่มักติดขัด
รับมือคำร้อง DSAR ตาม PDPA ภายใน 30 วัน: workflow ที่ PDPC ยอมรับ
หลัง PDPC ออกประกาศฉบับที่ 4/2569 กำหนดกรอบเวลาตอบ DSAR ชัดเจน หลาย SME ยังไม่มี workflow รองรับ บทความนี้แจกผังงาน 6 ขั้นที่ใช้จริงกับลูกค้า
กรรมการบริษัทไทยรับผิดส่วนตัวเมื่อใด: 7 สถานการณ์ที่คำพิพากษาชี้ชัด
หลายกรรมการเชื่อว่าบริษัทจำกัดคุ้มครอง 100% แต่คำพิพากษาศาลฎีกาปี 2568-2569 เปิดม่านนิติบุคคลบ่อยขึ้น