ร้านค้าต้องรู้! กฎหมาย PDPA คืออะไร กับการเก็บสลิปโอนเงินลูกค้า ต้องขออนุญาตหรือไม่ 

กฎหมาย PDPA คืออะไร และเกี่ยวข้องอย่างไรกับร้านค้าที่ต้องเก็บสลิปโอนเงินของลูกค้า? คำถามนี้สำคัญมากในยุคที่ร้านค้าส่วนใหญ่รับชำระเงินผ่าน Mobile Banking และต้องจัดเก็บหลักฐานการโอนเพื่อยืนยันคำสั่งซื้อ ตรวจสอบยอด หรือใช้เป็นหลักฐานทางบัญชี

คำตอบแบบสั้น ๆ คือ สลิปโอนเงินอาจมีข้อมูลที่สามารถเชื่อมโยงไปยังบุคคลได้ จึงต้องพิจารณาเรื่องการคุ้มครองข้อมูลส่วนบุคคลตาม PDPA แต่ไม่ได้หมายความว่า ร้านค้าต้องขอ Consent ทุกครั้งก่อนเก็บสลิป เพราะการเก็บ ใช้ หรือเปิดเผยข้อมูลต้องพิจารณา ฐานทางกฎหมาย วัตถุประสงค์ ความจำเป็น และระยะเวลาการเก็บข้อมูล เป็นสำคัญ บทความนี้จะพาไปดูตั้งแต่ PDPA คืออะไร สลิปโอนเงินถือเป็นข้อมูลส่วนบุคคลหรือไม่ ร้านค้าต้องขออนุญาตหรือไม่ ควรเก็บสลิปอย่างไร และต้องระวังอะไรบ้าง

กฎหมาย PDPA คืออะไร?

PDPA ย่อมาจาก Personal Data Protection Act หรือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายที่กำหนดหลักเกณฑ์เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคล สำหรับธุรกิจ สิ่งสำคัญไม่ได้มีเพียงการขออนุญาตจากลูกค้าเท่านั้น แต่ต้องพิจารณาว่าเก็บข้อมูลอะไร เก็บไปเพื่ออะไร ใช้ข้อมูลอย่างไร ใครสามารถเข้าถึงได้ และจะเก็บไว้นานแค่ไหน แนวทางของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เองก็ให้ความสำคัญกับเรื่อง วัตถุประสงค์ในการเก็บข้อมูล การใช้ข้อมูล การรักษาความมั่นคงปลอดภัย และระยะเวลาในการจัดเก็บ

สลิปโอนเงินของลูกค้าเป็นข้อมูลส่วนบุคคลหรือไม่?

คำตอบคือ อาจเป็นข้อมูลส่วนบุคคล หากข้อมูลบนสลิปสามารถเชื่อมโยงหรือระบุตัวบุคคลได้ ตัวอย่างข้อมูลที่อาจปรากฏบนสลิป เช่น

• ชื่อและนามสกุล
• เลขบัญชีบางส่วน
• ชื่อธนาคาร
• จำนวนเงิน
• วันและเวลาทำรายการ
• เลขที่รายการ
• QR Code หรือข้อมูลอ้างอิงธุรกรรม

ดังนั้น ร้านค้าไม่ควรมองว่าสลิปเป็นเพียงรูปภาพหลักฐานการโอนเงิน แต่ควรพิจารณาด้วยว่าภายในภาพมีข้อมูลใดที่เกี่ยวข้องกับลูกค้าและสามารถนำไปเชื่อมโยงกับบุคคลนั้นได้หรือไม่ แต่ประเด็นสำคัญคือ การมีข้อมูลส่วนบุคคลอยู่บนสลิปไม่ได้แปลว่าห้ามร้านค้าเก็บสลิป แต่ร้านค้าต้องจัดการข้อมูลให้สอดคล้องกับหลัก PDPA

ร้านค้าเก็บสลิปโอนเงินลูกค้า ต้องขออนุญาตหรือไม่?

ไม่จำเป็นต้องขอ Consent ทุกกรณี

นี่เป็นหนึ่งในความเข้าใจผิดที่พบบ่อยเกี่ยวกับ กฎหมาย PDPA คืออะไร เพราะ PDPA ไม่ได้กำหนดว่าการเก็บข้อมูลส่วนบุคคลทุกกรณีจะต้องใช้ “ความยินยอม” เป็นฐานทางกฎหมายเสมอไป แต่ในบางสถานการณ์ ร้านค้าอาจมีฐานทางกฎหมายอื่นที่เกี่ยวข้องกับการประมวลผลข้อมูล เช่น การจำเป็นเพื่อปฏิบัติตามสัญญา หรือการปฏิบัติตามกฎหมาย ทั้งนี้ต้องพิจารณาตามข้อเท็จจริงและวัตถุประสงค์ของการประมวลผลเป็นกรณี ๆ ไป ตัวอย่างเช่น หากร้านค้าต้องตรวจสอบว่าลูกค้าชำระเงินสำหรับคำสั่งซื้อจริงหรือไม่ การใช้ข้อมูลที่จำเป็นเพื่อดำเนินการตามธุรกรรมอาจมีเหตุผลทางกฎหมายที่แตกต่างจากการนำข้อมูลดังกล่าวไปใช้เพื่อการตลาด ดังนั้นคำถามที่ควรถามก่อนเก็บสลิปคือ

• “ร้านค้าเก็บสลิปไปเพื่ออะไร และมีฐานทางกฎหมายใดรองรับการประมวลผลข้อมูลนั้น?”

ร้านค้าควรทำอะไรบ้างเมื่อเก็บสลิปโอนเงิน?

1. กำหนดวัตถุประสงค์ให้ชัดเจน

ร้านค้าควรระบุให้ชัดว่าเก็บสลิปเพื่อวัตถุประสงค์อะไร เช่น

• ตรวจสอบการชำระเงิน
• ยืนยันคำสั่งซื้อ
• ป้องกันการทุจริต
• ตรวจสอบธุรกรรมย้อนหลัง
• จัดทำบัญชีหรือปฏิบัติตามกฎหมาย

ไม่ควรเก็บข้อมูลไว้แบบเผื่อได้ใช้ในอนาคต โดยไม่มีวัตถุประสงค์ที่ชัดเจน หลักการนี้สอดคล้องกับแนวทางของ สคส. ที่ให้ความสำคัญกับการระบุวัตถุประสงค์และระยะเวลาที่จำเป็นต่อการจัดเก็บข้อมูล

2. แจ้ง Privacy Notice ให้ลูกค้าทราบ

ร้านค้าควรมี Privacy Notice ที่อธิบายให้เจ้าของข้อมูลทราบว่า ธุรกิจเก็บข้อมูลอะไร เก็บไปเพื่ออะไร ใช้อย่างไร และมีรายละเอียดที่เกี่ยวข้องกับการประมวลผลข้อมูลอย่างไร การมี Privacy Notice ช่วยให้ลูกค้าเข้าใจการจัดการข้อมูลของร้านค้า และช่วยให้ธุรกิจมีแนวทางที่ชัดเจนในการจัดการข้อมูลส่วนบุคคล ตัวอย่างแนวทางของ GPPC ก็มีการแจ้งประเภทข้อมูล วัตถุประสงค์ ฐานการประมวลผล และระยะเวลาการจัดเก็บไว้อย่างชัดเจน

3. เก็บเฉพาะข้อมูลที่จำเป็น

ร้านค้าไม่ควรเก็บข้อมูลส่วนบุคคลมากเกินความจำเป็นต่อวัตถุประสงค์ที่กำหนดไว้ หากธุรกิจต้องใช้สลิปเพื่อยืนยันการชำระเงิน ก็ควรพิจารณาว่า จำเป็นต้องเก็บสลิปฉบับเต็มหรือไม่ และจำเป็นต้องเก็บไว้นานเท่าใด หลักคิดง่าย ๆ คือ

• เก็บเท่าที่จำเป็น 
• ใช้ตามวัตถุประสงค์ 
•  จำกัดการเข้าถึง 
• ลบเมื่อหมดความจำเป็น

ต้องเก็บสลิปโอนเงินไว้นานแค่ไหน?

ไม่มีคำตอบเดียวที่ใช้ได้กับทุกร้านค้า เพราะระยะเวลาการเก็บข้อมูลขึ้นอยู่กับ วัตถุประสงค์และข้อกำหนดทางกฎหมายที่เกี่ยวข้องกับธุรกิจนั้น ๆ ร้านค้าควรกำหนด Retention Period หรือระยะเวลาการเก็บข้อมูลให้เหมาะสม และเมื่อหมดความจำเป็นก็ควรลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ตามแนวทางที่เหมาะสม ตัวอย่างนโยบายของหน่วยงานภาครัฐภายใต้ GPPC ระบุการเก็บข้อมูลตามระยะเวลาที่จำเป็น และเมื่อหมดความจำเป็นให้ลบหรือทำลายข้อมูลอย่างถาวร หรือทำให้ไม่สามารถระบุตัวบุคคลได้

ข้อควรระวัง: ร้านค้าไม่ควรกำหนดว่า “เก็บสลิปตลอดไป” โดยไม่มีเหตุผลหรือวัตถุประสงค์รองรับ

การเก็บสลิปต้องรักษาความปลอดภัยอย่างไร?

เมื่อร้านค้าเก็บข้อมูลลูกค้าแล้ว สิ่งสำคัญอีกเรื่องคือ Data Security เพราะต่อให้ร้านค้ามีเหตุผลในการเก็บข้อมูลอย่างถูกต้อง แต่หากเก็บข้อมูลไว้ในพื้นที่ที่ใครก็เข้าถึงได้ ก็ยังมีความเสี่ยงด้านข้อมูลส่วนบุคคล

แนวทางที่ร้านค้าควรทำ

• จำกัดสิทธิ์พนักงานที่สามารถเข้าถึงสลิป
• ไม่ส่งสลิปผ่านกลุ่มแชตที่มีสมาชิกจำนวนมากโดยไม่จำเป็น
• ใช้ระบบที่มีการควบคุมสิทธิ์การเข้าถึง
• ป้องกันบัญชีผู้ดูแลระบบด้วยรหัสผ่านที่เหมาะสม
• สำรองข้อมูลอย่างปลอดภัย
• กำหนดขั้นตอนเมื่อเกิด Data Breach
• ลบข้อมูลเมื่อหมดความจำเป็น

สคส. ให้ความสำคัญกับมาตรการรักษาความมั่นคงปลอดภัยเพื่อป้องกันการสูญหาย การเข้าถึง การเปลี่ยนแปลง หรือการเปิดเผยข้อมูลส่วนบุคคลโดยไม่มีอำนาจหรือโดยมิชอบ

ใช้ระบบตรวจสอบสลิปช่วยลดความเสี่ยงได้อย่างไร?

สำหรับร้านค้าที่มีรายการโอนเงินจำนวนมาก การให้พนักงานเปิดสลิปและตรวจสอบทีละรายการอาจทำให้เกิดทั้ง ภาระงานและความเสี่ยงด้านการจัดการข้อมูล ต้องบอกเลยว่าการใช้ระบบ Slip Verification สามารถช่วยให้ร้านค้าจัดการกระบวนการตรวจสอบการชำระเงินได้เป็นระบบมากขึ้น

ตัวอย่างเช่น EasySlip สามารถนำมาใช้เป็นส่วนหนึ่งของ Workflow ตรวจสอบสลิปของร้านค้า ช่วยลดขั้นตอนการตรวจสอบด้วยมือ และทำให้กระบวนการรับชำระเงินเป็นระบบมากขึ้น

อย่างไรก็ตาม การใช้ระบบอัตโนมัติไม่ได้หมายความว่าธุรกิจจะหมดหน้าที่ด้าน PDPA เพราะร้านค้ายังคงต้องพิจารณาเรื่อง วัตถุประสงค์ ฐานทางกฎหมาย การแจ้งข้อมูล การควบคุมการเข้าถึง และการจัดเก็บข้อมูล ให้เหมาะสม หากมีผู้ให้บริการภายนอกเข้ามาประมวลผลข้อมูลแทนร้านค้า ธุรกิจก็ควรพิจารณาบทบาทและหน้าที่ของคู่สัญญาตาม PDPA รวมถึงมาตรการรักษาความปลอดภัยที่เกี่ยวข้องด้วย

Checklist ร้านค้าเก็บสลิปให้สอดคล้องกับ PDPA

ก่อนเริ่มเก็บสลิปโอนเงินของลูกค้า ลองเช็ก 7 ข้อนี้

• กำหนดวัตถุประสงค์ ว่าเก็บสลิปไปเพื่ออะไร
• ระบุฐานทางกฎหมาย ที่เกี่ยวข้องกับการประมวลผล
• แจ้ง Privacy Notice ให้ลูกค้าทราบ
• เก็บข้อมูลเท่าที่จำเป็น
• จำกัดสิทธิ์การเข้าถึง เฉพาะผู้ที่จำเป็น
• กำหนดระยะเวลาการจัดเก็บ
• ลบหรือทำลายข้อมูล เมื่อหมดความจำเป็น

หากธุรกิจมีการประมวลผลข้อมูลในปริมาณมากหรือมีลักษณะการประมวลผลที่เข้าข่ายตามกฎหมาย อาจต้องพิจารณาหน้าที่อื่นเพิ่มเติม เช่น การแต่งตั้ง Data Protection Officer (DPO) โดย สคส. มีข้อมูลเกี่ยวกับกรณีที่ต้องจัดให้มี DPO ตามมาตรา 41 ไว้โดยตรง

สรุป กฎหมาย PDPA คืออะไร และร้านค้าต้องขออนุญาตเก็บสลิปไหม?

กฎหมาย PDPA คือกฎหมายที่กำหนดหลักเกณฑ์ในการคุ้มครองข้อมูลส่วนบุคคล และมีผลต่อธุรกิจที่เก็บ ใช้ หรือเปิดเผยข้อมูลของลูกค้า สำหรับ การเก็บสลิปโอนเงินลูกค้า ร้านค้าไม่ควรสรุปว่าต้องขอ Consent ทุกครั้ง แต่ควรพิจารณาวัตถุประสงค์และฐานทางกฎหมายของการประมวลผลข้อมูลเป็นหลัก

สิ่งที่ร้านค้าควรให้ความสำคัญคือ เก็บข้อมูลเท่าที่จำเป็น แจ้งรายละเอียดให้ลูกค้าทราบ รักษาความปลอดภัย จำกัดสิทธิ์การเข้าถึง และกำหนดระยะเวลาการจัดเก็บที่เหมาะสม สำหรับร้านค้าที่มีรายการชำระเงินจำนวนมาก การนำระบบตรวจสอบสลิปอย่าง EasySlip เข้ามาช่วยจัดการ Workflow ก็เป็นอีกทางเลือกที่ช่วยลดงานตรวจสอบด้วยมือและทำให้กระบวนการรับชำระเงินเป็นระบบมากขึ้น

หมายเหตุ: บทความนี้เป็นข้อมูลทั่วไปเพื่อประกอบการทำความเข้าใจ ไม่ใช่คำปรึกษาทางกฎหมาย กรณีธุรกิจมีการเก็บหรือประมวลผลข้อมูลในลักษณะเฉพาะ ควรปรึกษาผู้เชี่ยวชาญด้าน PDPA หรือกฎหมายโดยตรง

คำถามที่พบบ่อย (FAQ)

1. ร้านค้าเก็บสลิปโอนเงินลูกค้าผิด PDPA หรือไม่?

ไม่สามารถสรุปว่า “ผิด” เพียงเพราะเก็บสลิป ร้านค้าต้องพิจารณาวัตถุประสงค์ ฐานทางกฎหมาย ความจำเป็น ระยะเวลาการเก็บ และมาตรการรักษาความปลอดภัยของข้อมูลประกอบกัน

2. ร้านค้าต้องขอ Consent ก่อนเก็บสลิปทุกครั้งหรือไม่?

ไม่จำเป็นต้องเป็น Consent ทุกกรณี เพราะ PDPA มีฐานทางกฎหมายหลายรูปแบบ การเลือกฐานที่เหมาะสมต้องพิจารณาตามวัตถุประสงค์และข้อเท็จจริงของการประมวลผล

3. สลิปโอนเงินถือเป็นข้อมูลส่วนบุคคลหรือไม่?

สลิปอาจมีข้อมูลที่สามารถเชื่อมโยงไปยังบุคคลได้ เช่น ชื่อ เลขบัญชีบางส่วน หรือรายละเอียดธุรกรรม จึงควรพิจารณาในฐานะข้อมูลส่วนบุคคลเมื่อสามารถเชื่อมโยงถึงบุคคลได้

4. ร้านค้าควรเก็บสลิปโอนเงินไว้นานแค่ไหน?

ควรกำหนดตามวัตถุประสงค์และข้อกำหนดทางกฎหมายที่เกี่ยวข้อง ไม่ควรเก็บไว้นานเกินความจำเป็น และเมื่อหมดความจำเป็นควรลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ตามความเหมาะสม

ร้านค้าต้องตรวจสอบสลิปจำนวนมากทุกวันใช่ไหม?

ลดขั้นตอนการตรวจสอบด้วยมือ และจัดการการชำระเงินให้เป็นระบบมากขึ้นด้วย EasySlip ระบบตรวจสอบสลิปสำหรับร้านค้าและธุรกิจออนไลน์ ช่วยให้ทีมตรวจสอบรายการชำระเงินได้สะดวกขึ้น พร้อมรองรับการทำงานที่มีธุรกรรมจำนวนมาก ให้ EasySlip ช่วยจัดการสลิปของร้านคุณ แล้วโฟกัสกับการขายได้มากขึ้น