ตารางเก็บเอกสารบริษัท: PDPA ภาษี และบัญชี

หลักการ 3 ขั้น: statutory floor, business need, disposal trigger

ก่อนกำหนดว่าเอกสารใดจะเก็บกี่ปี ให้แยกเป็น 3 ขั้น — ขั้นแรกคือระยะเวลาขั้นต่ำตามกฎหมาย (statutory floor) เช่นบัญชีต้องเก็บ 5 ปีตาม พ.ร.บ. การบัญชี ขั้นที่สองคือความจำเป็นทางธุรกิจ (business need) เช่นสัญญาที่ยังใช้บังคับ และขั้นที่สามคือ trigger การทำลาย เช่นสิ้นสุดปีปฏิทินที่ต่อจากอายุขั้นต่ำ

ตารางอายุตามกฎหมายไทย 6 ฉบับหลัก

ตัวอย่างต่อไปนี้เป็นจุดเริ่มตรวจ ไม่ใช่คำสั่งให้ทำลายอัตโนมัติ ต้องยืนยันประเภทเอกสาร จุดเริ่มนับ ข้อยกเว้น และกฎเฉพาะอุตสาหกรรมจากกฎหมายฉบับปัจจุบันก่อนใช้

• •ใบกำกับภาษีและรายงาน VAT: ตรวจหน้าที่เก็บตามประมวลรัษฎากรและวันเริ่มนับของเอกสารแต่ละประเภท
• •บัญชีและเอกสารประกอบการลงบัญชี: โดยหลักเก็บไม่น้อยกว่า 5 ปีนับแต่วันปิดบัญชี และอาจถูกสั่งให้เก็บนานขึ้นตาม พ.ร.บ.การบัญชี
• •ข้อมูลลูกจ้าง: แยกระเบียนที่กฎหมายแรงงานกำหนดออกจากหลักฐานภาษี ประกันสังคม และข้อพิพาทแรงงาน
• •ข้อมูลการรู้จักลูกค้าตามกฎหมาย ปปง.: ใช้ระยะเวลาและจุดเริ่มนับตามหน้าที่ของผู้มีหน้าที่รายงานแต่ละประเภท
• •เวชระเบียนและข้อมูลสุขภาพ: ตรวจมาตรฐานวิชาชีพ กฎสถานพยาบาล และฐานกฎหมายของผู้ควบคุมข้อมูลนั้นโดยเฉพาะ
• •ข้อมูลส่วนบุคคลทั่วไป: 'เท่าที่จำเป็นเพื่อวัตถุประสงค์' (PDPA ม.37(3))

จุดที่คนพลาดที่สุด: อายุความ vs อายุเก็บ

อย่าใช้เลขอายุความ 10 ปีกับทุกสัญญา เพราะสิทธิเรียกร้องบางประเภทมีกำหนดเฉพาะและข้อเท็จจริงอาจทำให้อายุความเริ่มต่างวัน หากเอกสารเกี่ยวกับข้อพิพาท การตรวจภาษี หรือคำสั่งระงับทำลาย ให้พักการลบไว้ก่อนและบันทึกผู้อนุมัติการพักนั้น

Disposal trigger และหลักฐานการอนุมัติทำลาย

ระบบที่ตรวจสอบย้อนหลังได้ควรมีเจ้าของข้อมูล เหตุผลที่เก็บ จุดเริ่มนับ วันทบทวน ผู้อนุมัติ และวิธีทำลายที่เหมาะกับความเสี่ยง อย่าผูกมาตรฐานเครื่องทำลายหรือเทคนิคการลบแบบเดียวกับข้อมูลทุกชนิด และต้องตรวจสำเนาสำรองกับระบบของผู้รับประมวลผลก่อนปิดรายการ