การบริหารธุรกิจในยุคดิจิทัล การปกป้องข้อมูลส่วนบุคคลไม่ได้เป็นเพียงเรื่องของฝ่าย IT หรือฝ่ายกฎหมายอีกต่อไป แต่คือรากฐานความเสี่ยงทางธุรกิจและภาษีที่ผู้บริหารต้องจัดการ PDPA คืออะไร แล้วทำไมผู้ประกอบการไทยจึงต้องให้ความสำคัญอย่างเร่งด่วน? Station Account® ได้สรุปเนื้อหาเชิงลึก พร้อมแนวทางปรับตัวด้านเอกสารบัญชีและภาษีไว้ครบถ้วนในบทความนี้
1. PDPA คืออะไร และทำไมองค์กรต้องปฏิบัติตาม
PDPA (Personal Data Protection Act) หรือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คือกฎหมายที่ออกมาเพื่อคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคล (Data Subject) กำหนดมาตรการในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานสากล
ข้อมูลประเภทใดบ้างที่อยู่ภายใต้การคุ้มครองของ PDPA?
ข้อมูลส่วนบุคคลแบ่งออกเป็น 2 ประเภทหลัก ซึ่งส่งผลต่อระดับการอารักขาและการขอความยินยอม (Consent):
ประเภทข้อมูล | นิยามตามกฎหมาย | ตัวอย่างเอกสารทางบัญชี / HR |
ข้อมูลส่วนบุคคลทั่วไป (General Data) | ข้อมูลที่สามารถระบุตัวตนบุคคลนั้นได้ทั้งทางตรงหรือทางอ้อม | ชื่อ-นามสกุล, เลขประจำตัวประชาชน, เบอร์โทรศัพท์, อีเมล, สลิปเงินเดือน |
ข้อมูลส่วนบุคคลอ่อนไหว (Sensitive Data) | ข้อมูลที่มีความเสี่ยงกระทบต่อสิทธิเสรีภาพสูง ต้องขอความยินยอมโดยชัดแจ้ง (Explicit Consent) | ศาสนา (บนสำเนาบัตรประชาชน), ข้อมูลสุขภาพ (ใบลาป่วย), ประวัติคดีอาญา |
2. ผลกระทบของ PDPA ต่อระบบงานบัญชี ภาษี และ HR
ความผิดพลาดส่วนใหญ่เกิดขึ้นเมื่อองค์กรจัดทำระบบเอกสารบัญชีและภาษี โดยลืมคำนึงถึงหลักการ Data Minimization (เก็บเท่าที่จำเป็น) เอกสารจ่ายเงิน สัญญาจ้าง และสลิปเงินเดือนล้วนบรรจุข้อมูลส่วนบุคคลที่ต้องได้รับการคุ้มครองตามกฎหมาย
เปรียบเทียบผลกระทบ PDPA ด้านบัญชีและภาษี (ก่อน vs หลัง ประกาศใช้)
ประเด็นการจัดการ | ก่อนมี PDPA | หลังมี PDPA (มาตรฐาน Station Account®) |
การเก็บสำเนาบัตรประชาชน | ถ่ายสำเนาทั้งหน้าบัตร รวมถึงศาสนาและกรุ๊ปเลือด | ขีดฆ่า/ปกปิด (Masking) ข้อมูลศาสนาและกรุ๊ปเลือด ก่อนลงบันทึกบัญชี |
เอกสารหัก ณ ที่จ่าย (50 ทวิ) | แสดงเลขบัตรประชาชนและที่อยู่บนเอกสารสาธารณะ | จัดเก็บในระบบเข้ารหัส จำกัดสิทธิ์เข้าถึงเฉพาะฝ่ายบัญชีที่ได้รับอนุญาต |
ระยะเวลาการจัดเก็บเอกสาร | เก็บไว้เรื่อยๆ ไม่มีกำหนด หรือทำลายตามใจชอบ | เก็บตามกฎหมายกำหนด (กรมสรรพากร 5–10 ปี) เมื่อครบกำหนดต้องทำลายทันที |
3. ตัวอย่างการลงบันทึกบัญชีและการบริหารภาษีเกี่ยวกับค่าใช้จ่าย PDPA
การลงทุนปรับปรุงระบบ PDPA ของบริษัท ทั้งค่าซอฟต์แวร์ ค่าที่ปรึกษา และค่าอบรม สามารถนำมาบันทึกเป็นค่าใช้จ่ายทางบัญชีและวางแผนภาษีได้อย่างถูกต้องตามหลักเกณฑ์ของ กรมสรรพากร
เคสที่ 1: การบันทึกบัญชีการจ้างที่ปรึกษาและจัดทำระบบ PDPA
บริษัท ซะที จำกัด จ้างที่ปรึกษาวางระบบ PDPA เป็นจำนวนเงิน 100,000 บาท (ไม่รวม VAT) มีการหักภาษี ณ ที่จ่าย 3%
การลงบันทึกบัญชี (Journal Entry):
• Dr. ค่าธรรมเนียมวิชาชีพ / ค่าที่ปรึกษา PDPA 100,000 บาท
• Dr. ภาษีซื้อรอเรียกคืน / ภาษีซื้อ 7,000 บาท
• Cr. ภาษีเงินได้หัก ณ ที่จ่ายค้างจ่าย (3%) 3,000 บาท
• Cr. เงินสด / เงินฝากธนาคาร 104,000 บาท
เคสที่ 2: การคำนวณภาษีและบันทึกบัญชีซื้อซอฟต์แวร์ Cookie Consent (สินทรัพย์ไม่มีตัวตน)
บริษัท ซื้อลิขสิทธิ์ซอฟต์แวร์ PDPA Cookie Consent อายุการใช้งาน 2 ปี เป็นเงิน 50,000 บาท (ไม่รวม VAT) หัก ณ ที่จ่าย 3%
การคำนวณค่าเสื่อมราคาทางภาษี:
• ค่าตัดจำหน่ายต่อปี = 50,000 / 2 = 25,000 บาท/ปี (หักเป็นรายจ่ายทางภาษีได้ตามจริง)
การลงบันทึกบัญชี ณ วันที่ซื้อ:
• Dr. คอมพิวเตอร์ซอฟต์แวร์ (สินทรัพย์ไม่มีตัวตน) 50,000 บาท
• Dr. ภาษีซื้อ 3,500 บาท
• Cr. ภาษีเงินได้หัก ณ ที่จ่ายค้างจ่าย (3%) 1,500 บาท
• Cr. เงินฝากธนาคาร 52,000 บาท
ในการบริหารจัดการระบบภาษีและงบการเงินอย่างมืออาชีพ หากองค์กรต้องการลดความเสี่ยงจากการบันทึกบัญชีผิดประเภท สามารถใช้บริการ รับทำบัญชี เพื่อควบคุมมาตรฐานเอกสารให้ถูกต้องตามกฎหมาย PDPA และสรรพากร
4. โทษของการไม่ปฏิบัติตาม PDPA และ ROI ในการป้องกันความเสี่ยง
กฎหมาย PDPA มีบทลงโทษที่รุนแรงกว่าที่ผู้ประกอบการหลายท่านคาดคิด การปล่อยให้เกิด Data Breach ไม่เพียงแต่ส่งผลเสียต่อชื่อเสียง แต่ยังกระทบต่อกระแสเงินสดและงบการเงินของบริษัทโดยตรง
- โทษทางแพ่ง: จ่ายค่าสินไหมทดแทนตามจริง และศาลสั่งจ่ายเพิ่มได้สูงสุด 2 เท่าของค่าสินไหมจริง
• โทษทางอาญา: จำคุกสูงสุด 1 ปี หรือปรับสูงสุด 1 ล้านบาท หรือทั้งจำทั้งปรับ (กรณีข้อมูลอ่อนไหว)
• โทษทางปกครอง: ปรับสูงสุด 5 ล้านบาท
มุมมอง ROI ทางธุรกิจ: การลงทุนวางระบบเอกสารและบัญชีให้สอดคล้องกับ PDPA ด้วยเงินหลักหมื่นถึงหลักแสน คือการปกป้องกำไรของบริษัทจากการถูกปรับหลักล้านบาท ซึ่งถือเป็นการคุ้มครอง ROI ขององค์กรที่คุ้มค่าที่สุด |
หากธุรกิจของคุณกำลังเติบโตและต้องการปรับโครงสร้างงบการเงินให้สะอาด ปลอดภัยจากบทลงโทษทางกฎหมาย การเลือกใช้บริการ รับปิดงบบัญชี โดยผู้เชี่ยวชาญจะช่วยให้งบการเงินของคุณถูกต้องแม่นยำ พร้อมรับการตรวจสอบทุกระดับ
5. Checklist 4 ขั้นตอน ปรับระบบบัญชี-ภาษีให้รอดพ้นความเสี่ยง PDPA
1. ทำ Data Mapping เอกสารบัญชี: สำรวจว่าเอกสารใดบ้างที่มีข้อมูลส่วนบุคคล (ใบเสร็จ, ใบกำกับภาษี, สัญญาจ้าง, เอกสาร 50 ทวิ)
2. ปรับแบบฟอร์มขอยินยอม (Consent Form): เพิ่มข้อความยินยอมในใบสมัครงาน หรือสัญญาคู่ค้าอย่างชัดเจน
3. ขีดฆ่าข้อมูล Sensitive Data: กำชับฝ่ายบัญชีให้ปกปิดข้อมูลศาสนาบนสำเนาบัตรประชาชนก่อนนำเข้าสู่ระบบบัญชี
4. ขึ้นทะเบียนระบบภาษีให้ถูกต้อง: สำหรับธุรกิจที่ขยายตัว การเข้าระบบภาษีมูลค่าเพิ่มอย่างถูกต้องผ่านบริการ รับจด Vat จะช่วยให้การจัดเก็บเอกสารและภาษีซื้อ-ภาษีขายเป็นระบบ ปลอดภัย และถูกต้องตาม PDPA
6. FAQ คำถามที่พบบ่อยเกี่ยวกับ PDPA และระบบบัญชีภาษี
Q1: สำเนาบัตรประชาชนที่ใช้ประกอบใบกำกับภาษี ต้องปกปิดข้อมูลศาสนาหรือไม่?
ต้องปกปิด (Masking) ข้อมูลศาสนาและกรุ๊ปเลือด เนื่องจากเป็นข้อมูลส่วนบุคคลอ่อนไหว (Sensitive Data) หากไม่ปกปิด องค์กรต้องได้รับยินยอมเป็นลายลักษณ์อักษร ซึ่งสร้างความเสี่ยงทางกฎหมายโดยไม่จำเป็น
Q2: เอกสารทางบัญชีและภาษี ต้องเก็บรักษาไว้นานแค่ไหนตาม PDPA?
กฎหมาย PDPA อนุญาตให้เก็บข้อมูลได้ตามระยะเวลาที่กฎหมายอื่นกำหนด ดังนั้น เอกสารทางบัญชีและภาษีต้องจัดเก็บไว้ไม่น้อยกว่า 5 ปี (หรือสูงสุด 10 ปีตามที่กรมสรรพากรขอขยายเวลา) เมื่อครบกำหนดแล้ว ต้องมีกระบวนการทำลายเอกสารที่ปลอดภัย
Q3: ฝ่ายบัญชีนำข้อมูลเงินเดือนพนักงานไปเปิดเผยให้บุคคลภายนอก ผิด PDPA หรือไม่?
ผิดกฎหมายอย่างร้ายแรง หากไม่มีฐานทางกฎหมาย (Legal Basis) หรือไม่ได้รับการยินยอมจากพนักงาน ข้อมูลเงินเดือนถือเป็นข้อมูลส่วนบุคคล บริษัทและผู้เปิดเผยอาจต้องรับโทษทั้งทางแพ่งและทางปกครอง
Q4: การจ้างสำนักงานบัญชี Outsource ส่งผลต่อ PDPA อย่างไร?
บริษัท (ผู้ควบคุมข้อมูล – Data Controller) ต้องทำข้อตกลงคุ้มครองข้อมูลส่วนบุคคล (Data Processing Agreement – DPA) ร่วมกับสำนักงานบัญชี (ผู้ประมวลผลข้อมูล – Data Processor) เพื่อยืนยันว่าสำนักงานบัญชีมีมาตรการรักษาความปลอดภัยของข้อมูลตามที่ PDPA กำหนด ซึ่ง Station Account® มีมาตรฐานการดูแลรักษาข้อมูลลูกค้าขั้นสูงสุดตามกฎหมาย
เรื่องล่าสุด
