อัปเดต PDPA สำหรับ HR และ Recruitment ปี 2026: สิ่งที่เอเจนซีและฟรีแลนซ์ทำเว็บไซต์ต้องทบทวน

การทบทวน PDPA สำหรับงาน HR และ Recruitment ปี 2026 ของเอเจนซีทำเว็บไซต์ ควรเน้นสามเรื่อง คือ เคลียร์เรซูเม่ผู้สมัครเก่าที่ค้างในไดรฟ์ทีมโดยไม่มีกำหนดลบ ทบทวนวิธีขอความยินยอมสำหรับข้อมูลอ่อนไหวในใบสมัคร เช่น ศาสนาหรือประวัติอาชญากรรม และกำหนดระยะเวลาเก็บข้อมูลผู้สมัครที่ถูกปฏิเสธให้ชัดเจนเป็นลายลักษณ์อักษร ควรตรวจสอบแนวทางล่าสุดจาก PDPC อย่างน้อยทุกไตรมาสเพราะเป็นประเด็นที่ยังมีรายละเอียดปรับปรุงต่อเนื่อง

เช้าวันจันทร์ต้นปี 2026 ผู้จัดการฝ่ายบุคคลของเอเจนซีดิจิทัลขนาดสิบกว่าคนเปิดโฟลเดอร์ Google Drive ชื่อ 'ผู้สมัคร Developer 2022-2023' แล้วพบว่ายังมีเรซูเม่ค้างอยู่เกือบสี่สิบไฟล์ บางไฟล์แนบสำเนาบัตรประชาชน บางไฟล์มีข้อมูลศาสนาที่ผู้สมัครกรอกไว้ในแบบฟอร์มโดยไม่มีใครถามเลยว่าทำไมต้องเก็บ ไม่มีใครในทีมจำได้ด้วยซ้ำว่าผู้สมัครกลุ่มนี้เคยได้รับการติดต่อกลับหรือไม่

เหตุการณ์แบบนี้พบได้บ่อยในเอเจนซีและทีมฟรีแลนซ์ที่โตเร็ว เพราะการรับสมัครงานมักทำผ่านอีเมลส่วนตัวของหัวหน้าทีม กลุ่มไลน์ภายใน หรือฟอร์ม Google Forms ที่ตั้งไว้ตั้งแต่วันแรกโดยไม่มีใครกลับมาแก้ไขอีกเลย เมื่อเข้าสู่ปี 2026 คำถามที่ควรถามตัวเองไม่ใช่ว่าเคยทำ PDPA หรือยัง แต่คือระบบที่วางไว้เมื่อสองสามปีก่อนยังใช้ได้จริงกับพฤติกรรมการรับสมัครที่เปลี่ยนไปหรือเปล่า

PDPA สำหรับ HR และ Recruitment ของเอเจนซีทำเว็บไซต์คืออะไร

ข้อมูล HR และ Recruitment เป็นคนละกลุ่มกับข้อมูลลูกค้าที่เอเจนซีคุ้นเคยในงานประจำ เพราะฝ่ายพัฒนาเว็บไซต์มักโฟกัสที่การเก็บข้อมูลผู้ใช้งานปลายทางของลูกค้า แต่ลืมไปว่าตัวเอเจนซีเองก็เป็นผู้ควบคุมข้อมูลของผู้สมัครงานและพนักงานในบริษัทตัวเองเช่นกัน เรซูเม่ ประวัติการทำงาน ผลการสัมภาษณ์ สลิปเงินเดือน และข้อมูลสวัสดิการของพนักงาน ล้วนอยู่ภายใต้กฎหมายเดียวกัน

จุดที่ต่างจากข้อมูลลูกค้าทั่วไปคือ ใบสมัครงานมักมีข้อมูลที่กฎหมายจัดเป็นข้อมูลอ่อนไหว เช่น ศาสนา สุขภาพ หรือประวัติอาชญากรรม ซึ่งต้องขอความยินยอมโดยชัดแจ้ง ไม่ใช่แค่การอ้างฐานสัญญาจ้างงานเหมือนข้อมูลทั่วไป เอเจนซีขนาดเล็กที่ไม่มีฝ่าย HR แยกต่างหากจึงต้องระวังจุดนี้เป็นพิเศษ เพราะคนที่คัดกรองใบสมัครมักเป็นหัวหน้าทีมเทคนิคที่ไม่ได้ผ่านการอบรมด้านนี้มาก่อน

สิ่งที่เปลี่ยนไปและควรทบทวนในปี 2026

สิ่งแรกที่ควรทบทวนคือปริมาณข้อมูลผู้สมัครเก่าที่สะสมมาหลายปี เอเจนซีที่เปิดรับสมัครต่อเนื่องมักมีเรซูเม่ค้างอยู่ในอีเมลหรือไดรฟ์เป็นร้อยไฟล์ ถ้ายังไม่เคยกำหนดว่าไฟล์เหล่านี้จะถูกลบเมื่อไร นี่คือความเสี่ยงอันดับหนึ่งที่ควรจัดการก่อน เพราะยิ่งเก็บนาน ยิ่งไม่มีเหตุผลรองรับว่าทำไมต้องเก็บต่อ

สิ่งที่สองคือช่องทางการรับสมัครที่เปลี่ยนไปตามยุคสมัย หลายทีมเริ่มใช้แพลตฟอร์มจัดหางานหรือบอทคัดกรองเรซูเม่อัตโนมัติ ซึ่งหมายความว่าข้อมูลผู้สมัครไม่ได้อยู่แค่ในมือทีมงานอีกต่อไป แต่ถูกส่งต่อไปยังผู้ให้บริการภายนอกด้วย ควรตรวจสอบว่าผู้ให้บริการเหล่านั้นมีข้อตกลงประมวลผลข้อมูลที่ชัดเจนหรือไม่ และข้อมูลถูกเก็บไว้ที่ไหนบ้าง

สิ่งที่สามคือการทบทวนแบบฟอร์มสมัครงานเอง หลายทีมยังใช้แบบฟอร์มที่ร่างไว้ตั้งแต่ตอนก่อตั้งบริษัท ซึ่งอาจถามคำถามที่ไม่จำเป็นต่อการตัดสินใจจ้างงาน เช่น สถานภาพสมรส ศาสนา หรือข้อมูลครอบครัว ควรตัดคำถามที่ไม่จำเป็นออก และสำหรับคำถามที่ยังต้องใช้จริง เช่น ประวัติอาชญากรรมสำหรับตำแหน่งที่เข้าถึงระบบลูกค้า ต้องมีช่องทำเครื่องหมายยินยอมแยกต่างหากอย่างชัดเจน

ข้อมูลผู้สมัครที่เป็นข้อมูลอ่อนไหวในใบสมัครงาน

ใบสมัครงานของทีมพัฒนาเว็บไซต์มักมีข้อมูลมากกว่าที่คิด นอกจากประวัติการศึกษาและการทำงาน ยังอาจมีจดหมายอ้างอิงจากที่ทำงานเก่า ผลตรวจสุขภาพสำหรับบางตำแหน่ง หรือประวัติอาชญากรรมสำหรับตำแหน่งที่ต้องเข้าถึงข้อมูลลูกค้าระดับสูง ข้อมูลกลุ่มนี้ต้องผ่านการขอความยินยอมที่ชัดแจ้งแยกจากการยินยอมทั่วไปตอนสมัครงาน

แนวทางที่ทำได้จริงสำหรับทีมเล็กคือ แยกฟอร์มยินยอมสำหรับข้อมูลอ่อนไหวออกจากใบสมัครหลัก และระบุให้ชัดว่าเก็บไปทำไม ใช้ประกอบการตัดสินใจอะไร และเก็บนานแค่ไหน แทนที่จะรวมทุกอย่างไว้ในฟอร์มเดียวแล้วให้ผู้สมัครติ๊กยินยอมทั้งก้อนโดยไม่ได้อ่านรายละเอียด

ระยะเวลาเก็บข้อมูลผู้สมัครที่ถูกปฏิเสธ เทียบกับพนักงานปัจจุบันและอดีต

คำถามที่ทีม HR ของเอเจนซีเจอบ่อยคือ เก็บเรซูเม่ผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ได้นานแค่ไหน คำตอบคือไม่มีตัวเลขตายตัวที่ใช้ได้กับทุกกรณี แต่หลักการคือต้องกำหนดระยะเวลาที่มีเหตุผลรองรับ เช่น เก็บไว้หกเดือนถึงหนึ่งปีเผื่อมีตำแหน่งใกล้เคียงเปิดใหม่ แล้วแจ้งผู้สมัครไว้ล่วงหน้าว่าจะเก็บนานเท่าไร ไม่ใช่เก็บไว้ตลอดไปโดยไม่มีกำหนด

สำหรับพนักงานปัจจุบัน ข้อมูลในแฟ้มประวัติจะมีอายุการเก็บยาวกว่าตามธรรมชาติของสัญญาจ้าง เพราะต้องใช้อ้างอิงเรื่องสิทธิประโยชน์และภาษีตลอดระยะเวลาทำงาน แต่เมื่อพนักงานลาออก ทีมต้องกำหนดระยะเวลาที่ชัดเจนว่าจะเก็บแฟ้มประวัติต่อไปอีกกี่ปีตามข้อกำหนดทางบัญชีหรือแรงงาน แล้วจึงลบหรือทำลายเมื่อพ้นกำหนด ไม่ใช่ปล่อยให้แฟ้มพนักงานเก่าค้างอยู่ในระบบเดียวกับพนักงานปัจจุบันแบบไม่มีการจัดหมวดหมู่

สิ่งที่พบบ่อยในเอเจนซีขนาดเล็กคือไม่มีใครกำหนดระยะเวลาเหล่านี้เป็นลายลักษณ์อักษรเลย ทำให้เมื่อมีคนถามหรือขอให้ลบข้อมูล ทีมงานตอบไม่ได้ว่าเก็บมานานแค่ไหนและจะเก็บต่อไปอีกนานเท่าไร การเขียนนโยบายสั้นๆ เพียงหน้าเดียวที่ระบุระยะเวลาของแต่ละกลุ่มข้อมูลไว้ล่วงหน้า ช่วยแก้ปัญหานี้ได้อย่างเป็นรูปธรรม

ใครในทีมควรเข้าถึงข้อมูล HR ได้บ้าง

ในเอเจนซีขนาดเล็ก มักมีวัฒนธรรมแชร์ทุกอย่างในไดรฟ์ทีมแบบเปิดกว้าง เพราะทุกคนช่วยกันทำงานหลายบทบาท แต่ข้อมูล HR ควรถูกจำกัดให้เฉพาะคนที่จำเป็นต้องรู้จริงๆ เท่านั้น เช่น ผู้ก่อตั้งหรือหัวหน้าทีมที่ตัดสินใจจ้างงาน และคนที่ดูแลเรื่องเงินเดือนโดยตรง ส่วนหัวหน้าทีมเทคนิคที่ไม่เกี่ยวข้องกับการตัดสินใจเรื่องค่าตอบแทนไม่จำเป็นต้องเห็นสลิปเงินเดือนของเพื่อนร่วมทีม

วิธีที่ทำได้ง่ายที่สุดสำหรับทีมเล็กคือแยกโฟลเดอร์ HR ออกจากโฟลเดอร์งานโปรเจกต์ทั่วไป ตั้งสิทธิ์การเข้าถึงเฉพาะคนที่เกี่ยวข้อง และเปลี่ยนรหัสผ่านหรือทบทวนสิทธิ์ทุกครั้งที่มีคนออกจากทีม ไม่ต้องรอให้มีระบบซับซ้อน แค่จัดระเบียบสิทธิ์การเข้าถึงให้ตรงกับความจำเป็นจริงก็ลดความเสี่ยงได้มากแล้ว

อีกจุดที่มักถูกมองข้ามคือฟรีแลนซ์ที่รับงานเป็นครั้งคราวให้เอเจนซี บางทีมให้ฟรีแลนซ์เข้าถึงไดรฟ์ทีมทั้งหมดเพื่อความสะดวก ทั้งที่ฟรีแลนซ์ไม่ได้เกี่ยวข้องกับงานสรรหาบุคลากรเลย ควรตรวจสอบว่าบัญชีของฟรีแลนซ์แต่ละคนถูกจำกัดสิทธิ์ไว้เฉพาะโฟลเดอร์โปรเจกต์ที่เกี่ยวข้องจริง ไม่ใช่เข้าถึงได้ทุกอย่างเหมือนพนักงานประจำ

ข้อผิดพลาดที่พบบ่อยเมื่อทบทวนระบบ HR ของเอเจนซี

• เก็บเรซูเม่ผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ในอีเมลส่วนตัวของหัวหน้าทีมโดยไม่มีกำหนดลบ
• ใช้แบบฟอร์มสมัครงานเดียวกันมาหลายปีโดยไม่ทบทวนว่ายังถามคำถามที่ไม่จำเป็นอยู่หรือไม่
• ไม่แยกฟอร์มยินยอมสำหรับข้อมูลอ่อนไหว เช่น ประวัติอาชญากรรม ออกจากใบสมัครหลัก
• ให้สิทธิ์เข้าถึงโฟลเดอร์ HR แบบเปิดกว้างทั้งทีมโดยไม่จำกัดตามความจำเป็น
• ไม่มีนโยบายระยะเวลาการเก็บข้อมูลเป็นลายลักษณ์อักษร ทำให้ตอบไม่ได้เมื่อถูกถาม

สรุป

การทบทวน PDPA สำหรับ HR และ Recruitment ในปี 2026 ของเอเจนซีทำเว็บไซต์ไม่จำเป็นต้องเริ่มจากศูนย์ แต่คือการกลับไปดูสิ่งที่มีอยู่แล้ว เช่น โฟลเดอร์เรซูเม่เก่า แบบฟอร์มสมัครงาน และสิทธิ์การเข้าถึงข้อมูล แล้วปรับให้สอดคล้องกับความจำเป็นจริงของทีม การเริ่มจากจุดเล็กๆ ที่ทำได้จริง เช่น กำหนดระยะเวลาการลบเรซูเม่เก่าและแยกฟอร์มยินยอมข้อมูลอ่อนไหว มีความหมายมากกว่าการรอทำระบบใหญ่ที่สมบูรณ์แบบ

ทีมที่เริ่มทบทวนตั้งแต่ตอนนี้จะประหยัดเวลาไปมากเมื่อเทียบกับการปล่อยให้ข้อมูลผู้สมัครและพนักงานสะสมต่อไปอีกหลายปีโดยไม่มีใครจัดระเบียบ เพราะยิ่งปล่อยไว้นาน จำนวนไฟล์ที่ต้องไล่ตรวจสอบย้อนหลังก็ยิ่งมากขึ้นตามไปด้วย การตั้งรอบทบทวนทุกสามเดือนเป็นวิธีที่ทำได้จริงสำหรับทีมที่ไม่มีคนดูแลเรื่องนี้เต็มเวลา

แหล่งข้อมูลอ้างอิงที่ควรตรวจสอบซ้ำ

ควรติดตามแนวทางล่าสุดจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) อย่างสม่ำเสมอ เพราะแนวปฏิบัติเกี่ยวกับข้อมูลอ่อนไหวและระยะเวลาการเก็บรักษายังมีการออกแนวทางเพิ่มเติมเป็นระยะ ทีมที่ดูแลเรื่องนี้ควรตั้งปฏิทินทบทวนทุกสามเดือนตามความเสี่ยงของหัวข้อนี้ และอ่านเพิ่มเติมได้ที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรม รวมถึงคู่มือขั้นตอนปฏิบัติที่ วิธีวางระบบ PDPA สำหรับ HR และ Recruitment สำหรับเอเจนซี