HR ต้องรู้ PDPA อะไรบ้าง? เช็กให้ครบในที่เดียว

HR ต้องรู้ว่าข้อมูลใดจำเป็นต้องเก็บ ใช้ฐานกฎหมายอะไร ใครเข้าถึงได้ เก็บไว้นานแค่ไหน และต้องทำอย่างไรเมื่อพนักงานขอใช้สิทธิ หรือเมื่อเกิดข้อมูลรั่วไหล เพราะงาน HR คือการดูแลข้อมูลส่วนบุคคลแทบทุกวัน ตั้งแต่เรซูเม่ เลขบัตรประชาชน บัญชีธนาคาร เงินเดือน ไปจนถึงผลการประเมิน

 

PDPA เกี่ยวข้องกับงาน HR อย่างไร

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA กำหนดหลักในการเก็บรวบรวม ใช้ เปิดเผย และดูแลข้อมูลส่วนบุคคล องค์กรในฐานะผู้ควบคุมข้อมูลส่วนบุคคลต้องระบุวัตถุประสงค์และฐานกฎหมายให้ชัด แจ้งเจ้าของข้อมูล และมีมาตรการรักษาความปลอดภัยที่เหมาะสม

 

ในทางปฏิบัติ HR มักเป็นผู้ดูแลข้อมูลตั้งแต่ต้นทาง จึงควรถาม 6 คำถามนี้ทุกครั้งก่อนเริ่มกระบวนการใหม่

1. เก็บข้อมูลของใครและเก็บข้อมูลอะไร

2. จำเป็นต่อวัตถุประสงค์ของงานจริงหรือไม่

3. ใช้ฐานกฎหมายใด

4. ต้องส่งข้อมูลให้ใครบ้าง

5. ใครในองค์กรควรเข้าถึงได้

6. เก็บถึงเมื่อไรและลบอย่างไรเมื่อหมดความจำเป็น

 

สามารถอ่านเพิ่มเติมเพื่อทบทวนภาพรวมของกฎหมายได้ที่ PDPA คืออะไร และองค์กรต้องเตรียมตัวอย่างไร

 

ข้อมูลแบบไหนที่ HR ต้องระวังเป็นพิเศษ

ข้อมูลส่วนบุคคลคือข้อมูลที่ทำให้ระบุตัวบุคคลได้ ไม่ว่าจะระบุได้โดยตรงหรือเมื่อนำไปเชื่อมกับข้อมูลอื่น งาน HR จึงไม่ได้มีเพียงชื่อและเลขบัตรประชาชน แต่ครอบคลุมข้อมูลหลายกลุ่ม

 

 

ข้อมูลลายนิ้วมือหรือใบหน้าไม่ได้เป็นข้อมูลอ่อนไหวทุกกรณีโดยอัตโนมัติ แต่จะเข้าข่ายข้อมูลชีวภาพตามกฎหมายเมื่อผ่านเทคนิคที่ทำให้สามารถยืนยันตัวบุคคลแบบเฉพาะเจาะจงได้ HR จึงควรตรวจทั้งเทคโนโลยีที่ใช้ วัตถุประสงค์ และฐานกฎหมายก่อนนำระบบมาใช้

 

เช็กลิสต์ PDPA สำหรับ HR ตลอดวงจรพนักงาน

 

 

1. ช่วงรับสมัครงาน

เริ่มจากลดข้อมูลที่ไม่จำเป็นในใบสมัคร ไม่ควรถามข้อมูลส่วนตัวเผื่อไว้โดยไม่มีเหตุผลเกี่ยวกับตำแหน่งงาน และควรแยกข้อมูลที่ “จำเป็นต้องให้” ออกจากข้อมูลที่ “สมัครใจให้” อย่างชัดเจน โดย HR ควรทำดังนี้

• ส่งหรือแสดง Privacy Notice สำหรับผู้สมัครก่อนหรือขณะเก็บข้อมูล

• ระบุว่าจะเก็บเรซูเม่ของผู้ที่ไม่ผ่านไว้นานเท่าไร

• ขออนุญาตก่อนติดต่อบุคคลอ้างอิง และแจ้งผู้สมัครให้ทราบ

• จำกัดผู้เข้าถึงเอกสารสมัครงานเฉพาะผู้เกี่ยวข้องกับการคัดเลือก

• ไม่ส่งเรซูเม่ลงกลุ่มแชตขนาดใหญ่หรือใช้อีเมลส่วนตัวโดยไม่จำเป็น

• ลบหรือทำลายข้อมูลเมื่อพ้นระยะเวลาที่กำหนด

 

2. ช่วงเริ่มงานและทำสัญญา

ก่อนขอสำเนาเอกสารทุกใบ HR ควรตรวจว่ากฎหมาย สัญญา หรืองานใดทำให้ต้องใช้ข้อมูลนั้น การเขียนกำกับวัตถุประสงค์บนสำเนาและปิดข้อมูลที่ไม่จำเป็นช่วยลดความเสี่ยงได้อีกชั้น

 

3. ช่วงทำงาน

ระหว่างการจ้าง ข้อมูลจะเพิ่มขึ้นต่อเนื่อง ทั้งเวลาเข้างาน การลา OT เงินเดือน หนังสือเตือน และผลประเมิน การคุ้มครองจึงต้องเกิดในงานประจำ ไม่ใช่ทำเอกสารครั้งเดียวแล้วจบ สิ่งที่ควรทำคือ

• ให้หัวหน้าเห็นเฉพาะข้อมูลของทีมที่จำเป็นต่อหน้าที่

• แยกสิทธิ์ข้อมูลเงินเดือน สุขภาพ และประวัติการลงโทษ

• ตรวจสิทธิ์ผู้ใช้งานเป็นระยะ โดยเฉพาะเมื่อย้ายตำแหน่ง

• ไม่ใช้ข้อมูลเพื่อวัตถุประสงค์ใหม่ทันที หากยังไม่ได้ตรวจฐานกฎหมายและการแจ้งข้อมูล

• กำหนดวิธีส่งสลิปเงินเดือนและเอกสารสำคัญที่ลดโอกาสส่งผิดคน

• บันทึกการเข้าถึงหรือแก้ไขข้อมูลสำคัญเพื่อใช้ตรวจสอบย้อนหลัง

 

4. เมื่อพนักงานขอใช้สิทธิ

พนักงานในฐานะเจ้าของข้อมูลมีสิทธิตามเงื่อนไขของกฎหมาย เช่น ขอเข้าถึง ขอสำเนา ขอแก้ไข ขอให้ลบหรือทำลาย ขอจำกัดการใช้ คัดค้าน ถอนความยินยอม และขอให้โอนข้อมูล แต่สิทธิบางอย่างมีเงื่อนไขหรือข้อยกเว้น HR ไม่ควรรับปากว่าจะลบทุกอย่างทันที ตัวอย่างเช่น เอกสารบางชุดอาจยังต้องเก็บเพื่อปฏิบัติตามกฎหมายหรือใช้ก่อตั้งสิทธิเรียกร้อง

 

กระบวนการรับคำขอควรระบุผู้รับผิดชอบ วิธีตรวจสอบตัวตน กำหนดเวลา วิธีค้นหาข้อมูล เหตุผลเมื่อปฏิเสธ และหลักฐานการตอบกลับ โดยไม่ควรให้พนักงานส่งสำเนาบัตรประชาชนแบบเปิดเผยผ่านช่องทางที่ไม่ปลอดภัยหากมีวิธียืนยันตัวตนอื่น

 

5. เมื่อพนักงานลาออกหรือพ้นสภาพ

การลาออกไม่ใช่สัญญาณให้ลบข้อมูลทั้งหมดในวันสุดท้าย แต่เป็นจุดเริ่มต้นของการทบทวนว่าแต่ละรายการยังต้องเก็บไว้เพราะอะไร HR ควรทำ 4 เรื่องนี้ทันที

1. ปิดบัญชีและถอนสิทธิ์เข้าถึงระบบตามกำหนด

2. รับคืนอุปกรณ์ เอกสาร และไฟล์งานที่มีข้อมูลบุคคลอื่น

3. แยกข้อมูลที่ต้องเก็บตามกฎหมายหรือเพื่อสิทธิเรียกร้องออกจากข้อมูลที่หมดความจำเป็น

4. ตั้งวันลบหรือทำลายตามตารางระยะเวลาการเก็บข้อมูล

 

ไม่ควรกำหนดว่า “เก็บตลอดไป” กับทุกเอกสาร ตารางการเก็บควรแยกตามประเภทข้อมูล เหตุผลทางกฎหมาย อายุความ และความจำเป็นทางธุรกิจ

 

เมื่อข้อมูลพนักงานรั่วไหล HR ต้องทำอย่างไร

การส่งสลิปเงินเดือนผิดคน ทำแฟ้มประวัติหาย เปิดสิทธิ์ให้พนักงานเห็นเงินเดือนทั้งบริษัท หรือส่งไฟล์ผู้สมัครออกนอกองค์กรโดยไม่ตั้งใจ อาจเป็นเหตุละเมิดข้อมูลได้ เมื่อพบเหตุ HR ควรทำตามลำดับนี้

1. หยุดเหตุและเก็บหลักฐาน เช่น ถอนสิทธิ์ เรียกคืนอีเมล เปลี่ยนรหัสผ่าน และรักษา Log

2. แจ้งทีมรับมือทันที ประสาน IT ฝ่ายกฎหมาย DPO หรือผู้รับผิดชอบตามแผนขององค์กร

3. ประเมินขอบเขตและความเสี่ยง ตรวจว่าข้อมูลของใคร ข้อมูลประเภทใด จำนวนเท่าไร ถูกเปิดเผยแก่ใคร และอาจเกิดผลกระทบอะไร

4. พิจารณาหน้าที่แจ้งเหตุ หากมีความเสี่ยงต่อสิทธิและเสรีภาพ ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่ทำได้ และหากมีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่รอช้า

5. บันทึกและป้องกันเหตุซ้ำ เก็บรายละเอียดเหตุ การตัดสินใจ มาตรการแก้ไข และปรับกระบวนการหรือสิทธิ์ใช้งาน

 

ดูรายละเอียดความรับผิดและบทลงโทษได้ที่ ละเมิด PDPA มีโทษและความเสี่ยงอะไรบ้าง

 

ใช้โปรแกรม HR ช่วยลดความเสี่ยง PDPA ได้ไหม

ได้อย่างมากครับ การรวมข้อมูลพนักงานไว้ในระบบที่กำหนดสิทธิ์ตามบทบาทได้ ช่วยลดการกระจายของไฟล์และทำให้ตรวจสอบย้อนหลังง่ายขึ้น โปรแกรม HumanSoft ใช้การกำหนดสิทธิ์ตามบทบาท บันทึกประวัติการเปลี่ยนแปลง รองรับ 2FA สำรองข้อมูลอัตโนมัติ และจัดเก็บข้อมูลบน Microsoft Azure ที่ผ่านมาตรฐาน ISO/IEC 27001

 

ดูรายละเอียดได้ที่ มาตรฐานความปลอดภัยและการคุ้มครองข้อมูลของ HumanSoft

 

สรุป HR ต้องรู้ PDPA อะไรบ้าง

HR ต้องรู้เส้นทางของข้อมูลพนักงานทั้งวงจร ตั้งแต่ว่าเก็บอะไร เพราะเหตุใด ใช้ฐานกฎหมายใด ใครเข้าถึง ส่งต่อให้ใคร และลบเมื่อไร พร้อมมีกระบวนการรองรับสิทธิและเหตุข้อมูลรั่วไหล หากองค์กรกำลังมองหาระบบ HR ที่ช่วยจัดเก็บข้อมูลเป็นศูนย์กลาง กำหนดสิทธิ์ตามบทบาท และตรวจสอบการเปลี่ยนแปลงย้อนหลังได้ สามารถศึกษารายละเอียด ระบบ HR HumanSoft และทดลองใช้งานเพื่อประเมินให้เหมาะกับกระบวนการขององค์กร

 

FAQ: คำถามที่พบบ่อยเกี่ยวกับ PDPA สำหรับ HR

ถาม : HR เก็บสำเนาบัตรประชาชนของพนักงานได้หรือไม่

ตอบ : เก็บได้เมื่อมีวัตถุประสงค์และฐานกฎหมายรองรับ แต่ควรเก็บเฉพาะข้อมูลที่จำเป็น ปิดข้อมูลที่ไม่ต้องใช้ กำหนดผู้เข้าถึง และลบเมื่อหมดความจำเป็น

 

ถาม : พนักงานไม่ยินยอมให้ใช้ข้อมูล นายจ้างยังทำเงินเดือนได้หรือไม่

ตอบ : ได้ หากการใช้ข้อมูลจำเป็นต่อสัญญาจ้างหรือการปฏิบัติตามกฎหมาย นายจ้างไม่จำเป็นต้องอาศัยความยินยอมทุกกรณี แต่ต้องแจ้งรายละเอียดการใช้ข้อมูลให้พนักงานทราบ

 

ถาม : HR ส่งสลิปเงินเดือนทางอีเมลได้หรือไม่

ตอบ : ทำได้หากมีมาตรการเหมาะสม เช่น จำกัดการเข้าถึง ป้องกันไฟล์ และมีขั้นตอนลดความเสี่ยงจากการส่งผิดคน ควรหลีกเลี่ยงการส่งรวมหลายคนในไฟล์เดียว

 

ถาม : รูปพนักงานใช้ทำสื่อบริษัทได้เลยหรือไม่

ตอบ : ไม่ควรสรุปว่าใช้ได้เพียงเพราะองค์กรมีรูปอยู่แล้ว ต้องตรวจวัตถุประสงค์เดิม ฐานกฎหมาย และความคาดหมายของพนักงาน หากใช้ประชาสัมพันธ์ภายนอก ความยินยอมที่สมัครใจและแยกจากเงื่อนไขการจ้างมักเหมาะกว่า

 

ถาม : กล้องวงจรปิดในที่ทำงานเกี่ยวกับ PDPA หรือไม่

ตอบ : เกี่ยวข้องหากบันทึกภาพที่ระบุตัวบุคคลได้ องค์กรควรมีวัตถุประสงค์ที่ชัด แจ้งให้ทราบ จำกัดมุมกล้องและผู้เข้าถึง รวมถึงกำหนดระยะเวลาเก็บภาพ

 

อ่านบทความที่เกี่ยวข้องเพิ่มเติม

• ทำไมต้องทำ? PDPA กับ HR ในองค์กร

• ปลุก HR ให้พร้อมรับมือกับ PDPA ด้วยโปรแกรม HR

• หลักเกณฑ์การเรียกเงินประกันการทำงานจากลูกจ้างตามกฎหมายแรงงาน

• ผลงานอันเกิดจากการว่าจ้าง ใครเป็นเจ้าของตามกฎหมายลิขสิทธิ์

• กฎหมายคุ้มครองแรงงาน ผู้ประกอบการมือใหม่ต้องรู้ไว้