วิธี Audit PDPA สำหรับ HR และ Recruitment ของเอเจนซีและฟรีแลนซ์ทำเว็บไซต์ พร้อม Evidence ที่ควรเก็บ

เอเจนซีจำนวนมากเก็บไฟล์ประวัติผู้สมัครงานและฟรีแลนซ์ไว้ในโฟลเดอร์เดียวบน Google Drive ที่ทุกคนในบริษัทเปิดดูได้ โดยไม่มีการกำหนดวันลบ ไม่มีการจำกัดสิทธิ์เข้าถึง และไม่มีใครรู้แน่ชัดว่าไฟล์ไหนควรลบไปแล้วตั้งแต่เมื่อไหร่ ปัญหานี้ไม่ได้เกิดจากความตั้งใจละเลย แต่เกิดจากการไม่มีรอบตรวจสอบที่ชัดเจน ทำให้ไฟล์เก่าพอกพูนขึ้นทุกปีจนถึงจุดที่ไม่มีใครกล้าลบเพราะไม่รู้ว่าจะกระทบอะไรบ้าง การ Audit ข้อมูล HR เป็นระบบจึงไม่ใช่ทางเลือก แต่เป็นกลไกเดียวที่ทำให้เอเจนซีรู้ตัวก่อนที่ปัญหาจะลุกลาม

การ Audit PDPA สำหรับ HR ของเอเจนซีต้องตรวจสอบเป็นรอบว่าไฟล์ประวัติผู้สมัครและฟรีแลนซ์กระจายอยู่ที่ไหนบ้าง ใครมีสิทธิ์เข้าถึง ข้อมูลอ่อนไหวในสัญญาและเอกสารยืนยันตัวตนถูกจัดการอย่างไร และข้อมูลฟรีแลนซ์ที่เลิกร่วมงานแล้วถูกลบตามกำหนดหรือไม่ ควรทำอย่างน้อยทุกหกเดือนและเก็บหลักฐานทุกครั้งที่ตรวจ

ทำไมเอเจนซีต้อง Audit ข้อมูล HR เป็นระยะ ไม่ใช่ทำครั้งเดียวจบ

เอเจนซีและทีมพัฒนาเว็บไซต์มีลักษณะการทำงานที่ต่างจากบริษัททั่วไปตรงที่มีการหมุนเวียนคนสูง ทั้งพนักงานประจำ ฟรีแลนซ์รายโปรเจกต์ และผู้รับเหมาช่วงที่เข้ามาช่วยงานเฉพาะช่วง แต่ละโปรเจกต์อาจมีคนใหม่เข้ามาและออกไปภายในไม่กี่เดือน ทำให้ไฟล์ประวัติ สัญญา และข้อมูลติดต่อของคนที่เคยร่วมงานสะสมเร็วกว่าธุรกิจที่มีพนักงานประจำนิ่งๆ การตั้งระบบไว้ครั้งเดียวตอนบริษัทมีคนไม่กี่คนแล้วไม่เคยกลับมาทบทวนอีก จะทำให้ระบบนั้นล้าสมัยและไม่สะท้อนความเป็นจริงภายในเวลาไม่ถึงปี

อีกเหตุผลที่ Audit ต้องทำเป็นรอบคือเอเจนซีมักเปลี่ยนเครื่องมือทำงานบ่อยตามความต้องการของแต่ละโปรเจกต์ เช่น เปลี่ยนจากอีเมลเป็นระบบจัดการโปรเจกต์ใหม่ หรือเปลี่ยนกลุ่มไลน์ทีมเมื่อเริ่มโปรเจกต์ใหม่กับลูกค้ารายใหญ่ ทุกครั้งที่เปลี่ยนเครื่องมือ ไฟล์เก่าในเครื่องมือเดิมมักถูกทิ้งไว้เฉยๆ โดยไม่มีใครไปปิดสิทธิ์เข้าถึงหรือย้ายข้อมูลออกอย่างเป็นระบบ การ Audit เป็นรอบจึงทำหน้าที่เป็นจุดเช็คที่บังคับให้ทีมกลับไปดูเครื่องมือเก่าที่อาจถูกลืมไปแล้วด้วย

จุดตรวจที่ 1: ไฟล์ประวัติผู้สมัครและฟรีแลนซ์กระจายอยู่ที่ไหนบ้าง

เริ่ม Audit ด้วยการไล่ดูทุกช่องทางที่เอเจนซีเคยใช้รับสมัครคนหรือคัดเลือกฟรีแลนซ์ ทั้งอีเมลของหัวหน้าโปรเจกต์แต่ละคน กลุ่มไลน์ที่เคยใช้คุยงานกับฟรีแลนซ์ แพลตฟอร์มหางานอิสระ และไฟล์ที่แนบมากับใบเสนอราคาโปรเจกต์เก่า สิ่งที่มักพบคือไฟล์พอร์ตโฟลิโอและประวัติของฟรีแลนซ์ที่เคยติดต่อแต่ไม่ได้ร่วมงานจริง ยังค้างอยู่ในกล่องข้อความส่วนตัวของพนักงานที่ลาออกไปแล้วด้วยซ้ำ หลักฐานที่ควรเก็บทุกรอบ Audit คือรายการช่องทางทั้งหมดที่ตรวจพบ พร้อมจำนวนไฟล์โดยประมาณและวันที่ตรวจ

วิธีที่ทำให้จุดตรวจนี้มีประสิทธิภาพขึ้นคือให้คนที่ Audit ถามหัวหน้าแต่ละโปรเจกต์ตรงๆ ว่า "ตอนนี้มีไฟล์ประวัติฟรีแลนซ์อยู่ในเครื่องหรืออีเมลส่วนตัวหรือไม่" แทนที่จะคาดเดาเอาเองว่าทุกอย่างอยู่ในระบบกลางแล้ว เพราะในทางปฏิบัติ หัวหน้าโปรเจกต์มักมีไฟล์สำรองเก็บไว้เองเผื่อระบบกลางล่มหรือหาไฟล์ไม่เจอ ซึ่งเป็นจุดที่ Audit แบบดูแค่ระบบกลางมักมองข้ามไป

จุดตรวจที่ 2: ข้อมูลอ่อนไหวในสัญญาจ้างและเอกสารยืนยันตัวตน

เอเจนซีมักขอสำเนาบัตรประชาชนหรือเอกสารยืนยันตัวตนจากฟรีแลนซ์และพนักงานใหม่เพื่อทำสัญญาว่าจ้างหรือออกเอกสารหักภาษี ณ ที่จ่าย เอกสารเหล่านี้มีข้อมูลที่ละเอียดอ่อนกว่าที่หลายคนคิด เช่น ศาสนาที่ระบุในบัตรประชาชนบางรุ่น หรือข้อมูลที่อยู่ตามทะเบียนบ้านซึ่งอาจเปิดเผยรายละเอียดชีวิตส่วนตัวมากกว่าที่จำเป็นสำหรับงาน จุดที่ต้องตรวจคือไฟล์สแกนบัตรประชาชนเหล่านี้ถูกเก็บแยกจากไฟล์งานทั่วไปหรือไม่ มีการเข้ารหัสหรือจำกัดสิทธิ์เข้าถึงเป็นพิเศษหรือไม่ และมีกำหนดเวลาลบหลังจบสัญญาหรือไม่

เอเจนซีบางแห่งทำสัญญาจ้างฟรีแลนซ์ผ่านแม่แบบเดียวกันมาหลายปีโดยไม่เคยปรับปรุง ทำให้แม่แบบสัญญายังขอเอกสารเกินความจำเป็น เช่น ขอสำเนาบัตรประชาชนทั้งที่งานเป็นการทำงานทางไกลที่ไม่จำเป็นต้องยืนยันตัวตนแบบพบหน้า จุด Audit นี้ควรตั้งคำถามว่าเอกสารแต่ละอย่างที่ขอนั้นจำเป็นสำหรับสัญญาประเภทนี้จริงหรือไม่ และถ้าไม่จำเป็นควรตัดออกจากแม่แบบตั้งแต่รอบต่อไป

จุดตรวจที่ 3: สิทธิ์เข้าถึงไฟล์ HR ของทีมที่หมุนเวียนโปรเจกต์บ่อย

ในเอเจนซีขนาดเล็ก โปรเจกต์แมเนเจอร์แต่ละคนมักมีสิทธิ์เข้าถึงไฟล์ประวัติฟรีแลนซ์ทั้งหมดของบริษัท ไม่ใช่เฉพาะคนที่ตัวเองเคยจ้าง เพราะทุกคนแชร์ไดรฟ์เดียวกันเพื่อความสะดวกในการหาคนช่วยงานด่วน จุดนี้ต้องตรวจว่าคนที่ลาออกจากตำแหน่งโปรเจกต์แมเนเจอร์ไปแล้วยังมีสิทธิ์เข้าถึงไฟล์เดิมอยู่หรือไม่ และคนที่เพิ่งเข้ามาใหม่ได้รับสิทธิ์เข้าถึงไฟล์ HR ทั้งหมดตั้งแต่วันแรกโดยไม่มีเหตุผลรองรับหรือไม่ หลักฐานที่ควรเก็บคือรายชื่อผู้มีสิทธิ์เข้าถึงไฟล์ HR ณ วันที่ตรวจ เทียบกับรายชื่อพนักงานปัจจุบันจริง

ปัญหาที่พบบ่อยเป็นพิเศษในเอเจนซีคือการให้สิทธิ์แบบ "ตั้งไว้ก่อนแล้วลืมถอด" เมื่อมีพนักงานฝึกงานหรือฟรีแลนซ์ระยะสั้นเข้ามาช่วยงาน 1-2 เดือนแล้วจบโปรเจกต์ไป สิทธิ์เข้าถึงไดรฟ์ที่ให้ไว้ตอนเริ่มงานมักไม่ถูกถอดออกเมื่อจบงาน เพราะไม่มีใครถูกมอบหมายให้เป็นคนรับผิดชอบขั้นตอนนี้โดยเฉพาะ Audit จึงควรกำหนดให้ชัดว่าใครเป็นคนถอดสิทธิ์ทุกครั้งที่มีคนจบโปรเจกต์หรือจบสัญญา ไม่ใช่ปล่อยให้เป็นหน้าที่ "ใครก็ได้" ที่สุดท้ายไม่มีใครทำ

จุดตรวจที่ 4: ข้อมูลฟรีแลนซ์ที่ไม่ได้ร่วมงานต่อ

ฟรีแลนซ์ที่เคยเสนอราคาแต่ไม่ได้งาน หรือเคยร่วมงานโปรเจกต์เดียวแล้วไม่ได้ติดต่อกันอีก มักมีข้อมูลค้างอยู่ในระบบนานกว่าที่ควร เพราะเอเจนซีมักคิดว่า "เก็บไว้เผื่อมีโปรเจกต์ใหม่ที่เหมาะกับสกิลเขา" โดยไม่มีกำหนดเวลาทบทวนความยินยอมหรือความจำเป็นในการเก็บต่อ จุด Audit ที่สำคัญคือตรวจว่าฟรีแลนซ์ที่ไม่มีการติดต่อเกินระยะเวลาที่กำหนดไว้ เช่นหนึ่งปี ได้รับการลบข้อมูลหรือติดต่อขอความยินยอมใหม่แล้วหรือยัง

ในทางปฏิบัติ ทีมสรรหาคนของเอเจนซีมักมีสเปรดชีตรายชื่อฟรีแลนซ์ที่เคยติดต่อไว้ทั้งหมด แล้วเปิดใช้ซ้ำทุกครั้งที่มีโปรเจกต์ใหม่โดยไม่เคยลบชื่อใครออกเลยตลอดหลายปี วิธีจัดการที่ทำได้จริงคือเพิ่มคอลัมน์ "ติดต่อล่าสุดเมื่อ" ในสเปรดชีตนั้น แล้วตั้งกฎง่ายๆ ว่าชื่อที่ไม่มีการติดต่อเกินระยะเวลาที่กำหนดจะถูกย้ายไปเก็บแยกต่างหากหรือเสนอให้ลบ ไม่ใช่ปล่อยให้อยู่ในลิสต์หลักตลอดไป

จุดตรวจที่ 5: ข้อมูลการจ่ายเงินและภาษีของฟรีแลนซ์

ข้อมูลบัญชีธนาคาร เลขประจำตัวผู้เสียภาษี และหนังสือรับรองหักภาษี ณ ที่จ่าย เป็นข้อมูลที่เอเจนซีต้องเก็บตามข้อบังคับด้านภาษีอยู่แล้ว แต่จุดที่มักถูกมองข้ามคือไฟล์เหล่านี้มักถูกเก็บปนกับไฟล์งานสร้างสรรค์ทั่วไป เช่น อยู่ในโฟลเดอร์เดียวกับไฟล์ดีไซน์หรือโค้ดของโปรเจกต์ ทำให้คนที่ไม่เกี่ยวข้องกับการเงินสามารถเปิดดูข้อมูลบัญชีธนาคารของฟรีแลนซ์ได้โดยไม่ตั้งใจ Audit จุดนี้ควรตรวจว่าไฟล์การเงินถูกแยกออกจากไฟล์งานและจำกัดสิทธิ์ให้เฉพาะคนที่ดูแลบัญชีเท่านั้น

อีกจุดที่ควรตรวจร่วมกันคือใบแจ้งหนี้และหลักฐานการโอนเงินที่ฟรีแลนซ์ส่งมาเอง มักถูกแนบไว้ในอีเมลเดียวกับไฟล์งานที่ส่งมอบ ทำให้เมื่อมีคนขอดูไฟล์งานเก่าเพื่ออ้างอิงในโปรเจกต์ใหม่ ก็มีโอกาสเห็นข้อมูลบัญชีธนาคารของฟรีแลนซ์คนเดิมติดมาด้วยโดยไม่ตั้งใจ วิธีแก้คือแยกไฟล์แนบทางการเงินออกจากอีเมลงานตั้งแต่ต้น แล้วเก็บไว้ในระบบบัญชีแยกต่างหากที่มีสิทธิ์เข้าถึงจำกัดกว่า

จุดตรวจที่ 6: สัญญากับเครื่องมือ HR หรือบัญชีเงินเดือนภายนอก

เอเจนซีหลายแห่งใช้ระบบภายนอกช่วยจ่ายเงินเดือนหรือจัดการฟรีแลนซ์ เช่น แพลตฟอร์มจ่ายเงินให้ฟรีแลนซ์ต่างประเทศ หรือสำนักงานบัญชีที่รับทำเงินเดือน จุดนี้ต้องตรวจว่าสัญญากับผู้ให้บริการเหล่านี้ระบุชัดเจนหรือไม่ว่าใครเป็นผู้ควบคุมข้อมูลและใครเป็นผู้ประมวลผลแทน มีการกำหนดหรือไม่ว่าข้อมูลพนักงานและฟรีแลนซ์ที่ส่งให้ผู้ให้บริการภายนอกจะถูกลบเมื่อใดหลังยกเลิกสัญญา และมีการทบทวนรายชื่อผู้ให้บริการภายนอกทั้งหมดที่เข้าถึงข้อมูล HR หรือไม่ เพราะเอเจนซีมักเปลี่ยนผู้ให้บริการบ่อยตามขนาดทีมที่โตขึ้นหรือลดลง

ความถี่ในการ Audit และใครควรเป็นคนทำ

สำหรับเอเจนซีขนาดเล็กถึงกลาง การ Audit ทุกหกเดือนเป็นความถี่ที่พอเหมาะ ไม่ถี่จนกลายเป็นภาระ แต่ไม่ห่างจนไฟล์เก่าสะสมมากเกินจะจัดการ ผู้ที่เหมาะทำหน้าที่นี้ไม่จำเป็นต้องเป็นตำแหน่ง HR โดยตรง อาจเป็นผู้ก่อตั้งหรือ Operations Lead ที่รับผิดชอบเรื่องนี้ควบคู่กับงานอื่น ขอเพียงมีเวลากันไว้ชัดเจนสำหรับรอบ Audit และมีเทมเพลตบันทึกผลที่ใช้ซ้ำได้ทุกครั้ง เพื่อให้เปรียบเทียบได้ว่ารอบนี้ดีขึ้นหรือแย่ลงกว่ารอบก่อนอย่างไร

สำหรับเอเจนซีที่มีทีมพัฒนาเว็บไซต์ทำงานร่วมกับลูกค้าโดยตรง ควรพิจารณาให้คนที่ Audit เป็นคนละคนกับคนที่รับผิดชอบรับสมัครหรือคัดเลือกฟรีแลนซ์ประจำวัน เพื่อให้มีมุมมองที่เป็นกลางในการตรวจสอบ ไม่ใช่คนคนเดียวที่ทั้งสร้างปัญหาและตรวจสอบปัญหาของตัวเอง หากทีมเล็กมากจนแยกคนไม่ได้จริงๆ อย่างน้อยควรให้มีคนที่สองมาช่วยตรวจทานผลสรุปก่อนปิดรอบ Audit ทุกครั้ง

ข้อผิดพลาดที่พบบ่อยเวลา Audit ข้อมูล HR ของเอเจนซี

• Audit เฉพาะไฟล์ของพนักงานประจำ แต่ข้ามไฟล์ฟรีแลนซ์และผู้รับเหมาช่วงไปทั้งหมด
• ไม่มีเทมเพลตบันทึกผล Audit ทำให้เปรียบเทียบรอบต่อรอบไม่ได้ว่าปัญหาที่เคยแก้แล้วกลับมาอีกหรือไม่
• ตรวจสิทธิ์เข้าถึงเฉพาะระบบหลัก แต่ลืมตรวจกลุ่มไลน์หรืออีเมลส่วนตัวที่เคยใช้คุยงานกับฟรีแลนซ์
• ไม่มีกำหนดเวลาทบทวนข้อมูลฟรีแลนซ์ที่ไม่ได้ติดต่อกันมานาน ปล่อยให้เก็บไว้ไม่มีที่สิ้นสุด
• ไม่ตรวจสอบสัญญากับผู้ให้บริการภายนอกด้าน HR หรือบัญชีเงินเดือนว่าจัดการข้อมูลอย่างไรหลังยกเลิกสัญญา

สรุป: การ Audit ที่ทำได้จริงสำคัญกว่าการ Audit ที่สมบูรณ์แบบ

เอเจนซีไม่จำเป็นต้องมีระบบ Audit ที่ซับซ้อนเท่าองค์กรใหญ่ ขอเพียงมีรอบตรวจที่ทำจริงทุกหกเดือน มีจุดตรวจที่ครอบคลุมทั้งพนักงานประจำและฟรีแลนซ์ และมีหลักฐานบันทึกไว้ทุกครั้งว่าตรวจอะไรพบอะไรและแก้ไขอย่างไร ไม่มีสูตรตายตัวที่ทำให้ทุกรอบ Audit ราบรื่นไร้ปัญหา แต่การมีรอบตรวจที่สม่ำเสมอทำให้เอเจนซีเห็นปัญหาตั้งแต่เนิ่นๆ ก่อนที่ไฟล์เก่าจะพอกพูนจนแก้ไขยาก

แหล่งข้อมูลอ้างอิง

ตรวจสอบแนวปฏิบัติล่าสุดเกี่ยวกับข้อมูลอ่อนไหวและการประมวลผลข้อมูลผ่านผู้ให้บริการภายนอกกับ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นระยะ และอ่านคู่กับภาพรวมหมวด ธุรกิจและอุตสาหกรรม เพื่อดูบริบทกับหัวข้ออื่น เช่น เช็กลิสต์ก่อนเปิดใช้งาน สำหรับทีมที่ยังไม่เคยวางระบบมาก่อน และ วิธีวางระบบทีละขั้นตอน ที่อธิบายการเริ่มต้นระบบตั้งแต่ต้น