ปรับปรุงล่าสุด
สาระสำคัญของบทความนี้
- หมายเรียกของสรรพากรมีฐานที่มาตรา 19 แห่งประมวลรัษฎากร ให้เจ้าพนักงานประเมินสั่งให้นำบัญชี เอกสาร หรือหลักฐานอื่นอันควรแก่เรื่องมาแสดง โดยต้องให้เวลาล่วงหน้าไม่น้อยกว่าเจ็ดวันนับแต่วันส่งหมาย
- ฐานทางกฎหมายที่รองรับการส่งข้อมูลคือมาตรา 24 (6) ประกอบมาตรา 27 มาตรา 27 ให้เปิดเผยข้อมูลที่เก็บรวบรวมได้โดยได้รับยกเว้นตามมาตรา 24 ได้ และมาตรา 24 (6) คือการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ไม่ใช่มาตรา 24 (3) ซึ่งเป็นฐานการปฏิบัติตามสัญญา
- คำประกาศความเป็นส่วนตัวต้องระบุผู้รับข้อมูลไว้ล่วงหน้า มาตรา 23 (4) กำหนดให้แจ้งประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย
- ไม่ปฏิบัติตามหมายเรียกโดยไม่มีเหตุผลอันสมควรทำให้เสียสิทธิอุทธรณ์ มาตรา 21 แห่งประมวลรัษฎากร ให้เจ้าพนักงานประเมินประเมินตามที่รู้เห็นว่าถูกต้อง และห้ามมิให้อุทธรณ์การประเมินในกรณีนั้น ผลต่อเนื่องคือฟ้องคดีต่อศาลไม่ได้ แม้คณะกรรมการพิจารณาอุทธรณ์รับพิจารณาให้ (คำพิพากษาศาลฎีกาที่ 2642/2543) ทั้งนี้ ข้อห้ามใช้เฉพาะเมื่อการไม่ปฏิบัติตามหมายไม่มีเหตุผลอันสมควร
- โทษปรับทางปกครองสูงสุดห้าล้านบาทอยู่ที่มาตรา 84 ใช้กับข้อมูลอ่อนไหวตามมาตรา 26 ส่วนมาตรา 83 คือไม่เกินสามล้านบาท และมาตรา 82 คือไม่เกินหนึ่งล้านบาท
- โทษอาญาจำคุกไม่เกินหนึ่งปีหรือปรับไม่เกินหนึ่งล้านบาทอยู่ที่มาตรา 79 วรรคสอง ใช้กับการฝ่าฝืนเกี่ยวกับข้อมูลอ่อนไหวเพื่อแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมาย
- มาตรา 78 ไม่ใช่ค่าปรับ เป็นอำนาจศาลสั่งให้จ่ายค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มขึ้นได้ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริง และวางอายุความสามปีนับแต่วันที่ผู้เสียหายรู้ถึงความเสียหายและรู้ตัวผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่ต้องรับผิด หรือสิบปีนับแต่วันที่มีการละเมิดข้อมูลส่วนบุคคล
สารบัญ
สรรพากรมีอำนาจขอข้อมูลอะไรได้บ้าง?
อำนาจเรียกข้อมูลของกรมสรรพากรอยู่ที่มาตรา 19 แห่งประมวลรัษฎากร ซึ่งให้เจ้าพนักงานประเมินออกหมายเรียกผู้ยื่นรายการมาไต่สวน ออกหมายเรียกพยาน และสั่งให้นำบัญชี เอกสาร หรือหลักฐานอื่นอันควรแก่เรื่องมาแสดง โดยต้องให้เวลาล่วงหน้าไม่น้อยกว่าเจ็ดวันนับแต่วันส่งหมาย
มาตราในประมวลรัษฎากรที่เกี่ยวข้องกับการเรียกและคุ้มครองข้อมูล มีดังนี้:
ออกหมายเรียกผู้ยื่นรายการหรือพยาน และสั่งให้นำบัญชี เอกสาร หรือหลักฐานอื่นอันควรแก่เรื่องมาแสดง
เมื่อมีเหตุอันควรเชื่อว่ามีการหลีกเลี่ยงการเสียภาษีอากร อธิบดีมีอำนาจเข้าไปหรือออกคำสั่งเป็นหนังสือให้เจ้าพนักงานสรรพากรเข้าไปตรวจค้น ยึด หรืออายัดบัญชี เอกสาร หรือหลักฐานอื่น (ในจังหวัดอื่นนอกจากกรุงเทพมหานคร ผู้ว่าราชการจังหวัดหรือสรรพากรเขตมีอำนาจเช่นเดียวกัน)
เจ้าพนักงานที่ได้รู้เรื่องกิจการของผู้เสียภาษีอากรหรือผู้อื่นที่เกี่ยวข้องจากหน้าที่ราชการ ห้ามนำออกแจ้งแก่ผู้ใด เว้นแต่มีอำนาจทำได้โดยชอบด้วยกฎหมาย
- รายชื่อลูกค้าและยอดซื้อ
- ใบกำกับภาษีและใบเสร็จ
- รายการธุรกรรมธนาคาร
- สัญญาและหนังสือสำคัญ
- บัญชีลูกหนี้-เจ้าหนี้
- ข้อมูลการจ่ายค่าจ้างและ Payroll
⚠ ต้องการตรวจว่าระบบข้อมูลของท่านพร้อมรองรับหมายเรียกของสรรพากรหรือไม่?
ประเมินประเด็น PDPA + Tax Compliance →PDPA คุ้มครองข้อมูลลูกค้าจากสรรพากรได้หรือไม่?
มาตรา 27 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ห้ามใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอม เว้นแต่เป็นข้อมูลที่เก็บรวบรวมได้โดยได้รับยกเว้นตามมาตรา 24 ซึ่งอนุมาตรา (6) คือการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล การส่งข้อมูลตามหมายเรียกของเจ้าพนักงานประเมินจึงมีฐานทางกฎหมายรองรับ
โดยสรุป: PDPA ไม่ใช่เหตุให้ปฏิเสธ เมื่อสรรพากรใช้อำนาจตามกฎหมาย
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) บังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน พ.ศ. 2565 กำหนดว่าการประมวลผลข้อมูลส่วนบุคคลต้องมีฐานทางกฎหมาย (Legal Basis) โดยฐานทางกฎหมายที่ใช้ในกรณีนี้คือ "การปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล" (Legal Obligation) ตามมาตรา 24(6) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ส่วนมาตรา 24(3) เป็นฐานการปฏิบัติตามสัญญา ซึ่งเป็นคนละฐานกัน
ประเด็นที่ควรระวังคือการให้ข้อมูลโดยไม่มีหน้าที่ตามกฎหมายรองรับ หรือให้มากกว่าที่หมายเรียกระบุ ส่วนที่เกินนั้นต้องมีฐานอื่นตามมาตรา 24 หรือได้รับความยินยอม มิฉะนั้นอาจเป็นการฝ่าฝืนมาตรา 27 ซึ่งมีโทษปรับทางปกครองไม่เกินสามล้านบาทตามมาตรา 83
- ให้ข้อมูลลูกค้าแก่บุคคลที่อ้างว่าเป็นเจ้าหน้าที่สรรพากร โดยไม่ตรวจสอบบัตรประจำตัว
- ให้ข้อมูลมากกว่าที่หมายเรียกระบุ (over-disclosure)
- นำข้อมูลลูกค้าไปให้บุคคลที่สาม โดยอ้างว่า "สรรพากรขอ" โดยไม่มีหมายเรียกจริง
- ไม่แจ้งให้ลูกค้าทราบ ในกรณีที่กฎหมาย PDPA กำหนดให้ต้องแจ้ง
3 ขั้นตอนสำคัญที่ธุรกิจต้องทำให้ครบ
มาตรา 23 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งรายละเอียดแก่เจ้าของข้อมูลก่อนหรือในขณะเก็บรวบรวม รวมถึงประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลอาจถูกเปิดเผย การระบุหน่วยงานรัฐไว้ในคำประกาศความเป็นส่วนตัวจึงเป็นหน้าที่ตามตัวบท
Privacy Notice ของท่านควรระบุชัดเจนว่าบริษัทอาจเปิดเผยข้อมูลส่วนบุคคลต่อหน่วยงานของรัฐเมื่อมีหน้าที่ตามกฎหมาย ตามมาตรา 23 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ข้อมูลลูกค้าควรเก็บแยกจากข้อมูลการตลาด มีระบบ Access Control ชัดเจน และสามารถ export เฉพาะส่วนที่สรรพากรขอได้
ถ้าเจ้าหน้าที่ขอข้อมูลนอกรายการที่ระบุในหมายเรียก หรือขอโดยไม่ได้อ้างอำนาจตามกฎหมาย เช่น หมายเรียกตามมาตรา 19 หรือคำสั่งตรวจค้นตามมาตรา 3 เบญจ ท่านขอให้แสดงฐานอำนาจก่อนส่งข้อมูลได้
ผู้ให้คำปรึกษาและสำนักงาน
- ระดับปริญญาโท หลักสูตรนิติศาสตรมหาบัณฑิต (LL.M.) สาขากฎหมายการเงินและภาษีอากร คณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย — เคยให้ความเห็นในฐานะผู้เชี่ยวชาญด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคลต่อคณะกรรมาธิการการสาธารณสุข สภาผู้แทนราษฎร
- สำนักงาน — บริษัท เอกสยาม แอนด์ พาร์ทเนอร์ส จำกัด ดูแลเรื่องของลูกความมาแล้วกว่า 1,500 เรื่อง นับรวมงานทุกประเภทของบริษัท
- ให้คำปรึกษา PDPA Compliance — สำหรับธุรกิจทุกขนาด ตั้งแต่ Privacy Policy จนถึง DPO
- ให้คำปรึกษาทั้งกรณีการตรวจสอบของสรรพากร — และกรณีร้องเรียนตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
กำหนดเวลาออกหมายเรียกตามมาตรา 19 และผลของการไม่ปฏิบัติตามหมายเรียกตามมาตรา 21 อธิบายไว้เต็มพร้อมตัวบทที่ สรรพากรตรวจย้อนหลังได้กี่ปี ตามมาตรา 19