เช็กลิสต์ PDPA สำหรับ HR และ Recruitment สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

ก่อนเปิดรับสมัครงานหรือเริ่มใช้ระบบ HR รอบใหม่ เอเจนซีทำเว็บไซต์ควรเช็กอย่างน้อยห้าจุด คือ แบบฟอร์มสมัครงานไม่ถามข้อมูลเกินจำเป็น มีช่องยินยอมแยกสำหรับข้อมูลอ่อนไหว กำหนดระยะเวลาเก็บเรซูเม่ผู้สมัครที่ถูกปฏิเสธไว้ชัดเจน จำกัดสิทธิ์เข้าถึงไฟล์ HR เฉพาะคนที่จำเป็นต้องรู้ และมีช่องทางรับคำขอลบข้อมูลที่ระบุไว้ล่วงหน้า เช็กลิสต์นี้ทำได้ภายในหนึ่งวันสำหรับทีมขนาดเล็ก

ก่อนกดปุ่มประกาศรับสมัครตำแหน่ง Developer หรือ Designer รอบใหม่ในกลุ่มไลน์และเพจบริษัท มีจุดไหนด้าน PDPA ที่ควรเช็กก่อนไหม คำถามนี้มักโผล่ขึ้นมาตอนที่หัวหน้าทีมเทคนิคของเอเจนซีขนาดเล็กกำลังจะก็อปแบบฟอร์มสมัครงานเดิมมาใช้ซ้ำ แล้วเกิดสงสัยขึ้นมาเองว่าฟอร์มที่ใช้มาสามปีนี้ยังโอเคอยู่ไหม คำตอบสั้นๆ คือมีอย่างน้อยห้าจุดที่ควรตรวจก่อนกดเผยแพร่ทุกครั้ง ไม่ใช่แค่ตอนตั้งบริษัทใหม่ๆ

เช็กลิสต์ด้านล่างนี้ตัดมาเฉพาะจุดที่ทีมสองสามคนตรวจเองได้จริงภายในวันเดียว ไม่ต้องรอมีฝ่าย HR แยกต่างหากหรือที่ปรึกษากฎหมายมาช่วยตรวจทุกข้อ แต่ละหัวข้อจะบอกด้วยว่าทำไมต้องเช็ก และควรเก็บหลักฐานอะไรไว้เผื่อมีคนถามย้อนหลัง

ทำไมต้องมีเช็กลิสต์แยกสำหรับงาน HR และ Recruitment ของเอเจนซี

เอเจนซีทำเว็บไซต์ส่วนใหญ่มีเช็กลิสต์ PDPA สำหรับงานลูกค้าอยู่แล้ว เช่น ตรวจ Cookie Consent หรือฟอร์มติดต่อบนเว็บไซต์ที่ทำให้ลูกค้า แต่ไม่มีเช็กลิสต์แยกสำหรับข้อมูลผู้สมัครงานและพนักงานของตัวเอง ทั้งที่ใบสมัครงานมักมีข้อมูลที่กฎหมายจัดเป็นข้อมูลอ่อนไหว เช่น ศาสนา สุขภาพ หรือประวัติอาชญากรรม ซึ่งต้องผ่านมาตรฐานความยินยอมที่สูงกว่าข้อมูลทั่วไปมาก

อีกเหตุผลคือคนที่คัดกรองใบสมัครในทีมเล็กมักเป็นหัวหน้าทีมเทคนิคหรือผู้ก่อตั้งเอง ไม่ได้ผ่านการอบรมด้าน HR มาก่อน จึงมีโอกาสพลาดจุดที่คนทำงาน HR มืออาชีพจะระวังโดยอัตโนมัติ เช่น การขอสำเนาบัตรประชาชนตั้งแต่รอบสัมภาษณ์แรก เช็กลิสต์แบบตรงประเด็นจึงช่วยลดการพลาดจากความไม่คุ้นเคย ไม่ใช่ความตั้งใจ

เช็กลิสต์ก่อนเปิดใช้งานฟอร์มสมัครงานใหม่

1. แบบฟอร์มสมัครงานไม่ถามข้อมูลเกินความจำเป็น

เปิดฟอร์มสมัครงานที่ใช้อยู่ แล้วไล่อ่านทีละคำถามว่าแต่ละข้อจำเป็นต่อการตัดสินใจจ้างงานตำแหน่งนี้จริงหรือไม่ คำถามอย่างสถานภาพสมรส จำนวนบุตร หรือศาสนา ที่ใส่ไว้ตั้งแต่ตอนตั้งฟอร์มโดยไม่มีเหตุผลชัดเจน ควรตัดออกก่อนเปิดใช้งานรอบใหม่ ยิ่งเก็บคำถามที่ไม่จำเป็นไว้มาก ความเสี่ยงเมื่อข้อมูลรั่วไหลก็ยิ่งสูงโดยไม่ได้ประโยชน์อะไรกลับมา

2. มีช่องยินยอมแยกสำหรับข้อมูลอ่อนไหว

ถ้าตำแหน่งที่เปิดรับต้องใช้ข้อมูลอ่อนไหวจริง เช่น ประวัติอาชญากรรมสำหรับตำแหน่งที่เข้าถึงระบบลูกค้าระดับสูง ต้องมีช่องทำเครื่องหมายยินยอมแยกต่างหากจากการยินยอมทั่วไปตอนสมัครงาน ระบุให้ชัดว่าเก็บไปทำไม ใช้ประกอบการตัดสินใจอะไร และเก็บนานแค่ไหน ห้ามรวมไว้ในฟอร์มเดียวแล้วให้ผู้สมัครติ๊กยินยอมทั้งก้อนโดยไม่ได้อ่านรายละเอียด

3. ผู้สมัครรู้ล่วงหน้าว่าข้อมูลจะถูกเก็บไว้นานเท่าไร

ก่อนเปิดใช้งานฟอร์ม ตรวจว่ามีข้อความแจ้งผู้สมัครหรือไม่ว่าถ้าไม่ผ่านการคัดเลือก เรซูเม่จะถูกเก็บไว้นานแค่ไหนก่อนลบ เช่นหกเดือนถึงหนึ่งปี การแจ้งล่วงหน้าแบบนี้ทำได้ง่ายด้วยประโยคสั้นๆ ท้ายฟอร์ม แต่หลายทีมมองข้ามเพราะคิดว่าเป็นเรื่องหลังบ้านที่ไม่ต้องบอกผู้สมัคร

เช็กลิสต์ก่อนใช้ระบบเก็บข้อมูลผู้สมัครและพนักงานจริง

4. กำหนดระยะเวลาเก็บข้อมูลผู้สมัครที่ถูกปฏิเสธเป็นลายลักษณ์อักษร

ตรวจว่ามีเอกสารสั้นๆ ระบุไว้หรือยังว่าเรซูเม่ผู้สมัครที่ไม่ผ่านการคัดเลือกจะเก็บไว้กี่เดือนก่อนลบ ถ้ายังไม่มี ควรเขียนก่อนเริ่มรับสมัครรอบใหม่ ไม่ใช่ปล่อยให้เรซูเม่ค้างอยู่ในอีเมลของหัวหน้าทีมโดยไม่มีกำหนดสิ้นสุด เพราะยิ่งเก็บนานโดยไม่มีเหตุผลรองรับ ยิ่งตอบยากเมื่อมีคนถามว่าทำไมยังเก็บอยู่

5. กำหนดระยะเวลาเก็บแฟ้มพนักงานที่ลาออกแล้ว

ตรวจว่าแฟ้มประวัติของพนักงานที่ลาออกไปแล้วถูกแยกออกจากระบบของพนักงานปัจจุบันหรือยัง และมีกำหนดว่าจะเก็บต่อไปอีกกี่ปีตามความจำเป็นด้านบัญชีหรือแรงงานก่อนทำลาย แฟ้มที่ค้างปนกับพนักงานปัจจุบันโดยไม่จัดหมวดหมู่คือจุดที่ตรวจสอบย้อนหลังได้ยากที่สุดเมื่อมีคำถามเกิดขึ้น

6. สิทธิ์เข้าถึงโฟลเดอร์ HR จำกัดเฉพาะคนที่จำเป็นต้องรู้

เปิดดูรายชื่อคนที่มีสิทธิ์เข้าถึงโฟลเดอร์ HR ในไดรฟ์ทีม แล้วเช็กว่ามีใครเห็นสลิปเงินเดือนหรือผลประเมินของเพื่อนร่วมทีมทั้งที่ไม่เกี่ยวข้องกับการตัดสินใจเรื่องค่าตอบแทนหรือไม่ ทีมเล็กที่ใช้วัฒนธรรมแชร์ไดรฟ์แบบเปิดกว้างมักพลาดจุดนี้เป็นประจำ ควรแยกโฟลเดอร์ HR ออกจากโฟลเดอร์งานโปรเจกต์และตั้งสิทธิ์ให้ตรงกับความจำเป็นจริง

7. ฟรีแลนซ์ที่รับงานเป็นครั้งคราวไม่เห็นข้อมูล HR ที่ไม่เกี่ยวข้อง

ตรวจบัญชีของฟรีแลนซ์ที่รับงานเป็นครั้งคราวว่าถูกจำกัดสิทธิ์ไว้เฉพาะโฟลเดอร์โปรเจกต์ที่เกี่ยวข้องจริงหรือไม่ หลายทีมให้ฟรีแลนซ์เข้าถึงไดรฟ์ทั้งหมดเพื่อความสะดวก ทั้งที่ฟรีแลนซ์ไม่มีเหตุผลใดต้องเห็นข้อมูลผู้สมัครหรือเงินเดือนของพนักงานประจำเลย

เช็กลิสต์ก่อนใช้แพลตฟอร์มหรือบริการภายนอกช่วยงานสรรหา

8. ตรวจข้อตกลงกับแพลตฟอร์มจัดหางานหรือบอทคัดกรองเรซูเม่

ถ้าทีมใช้แพลตฟอร์มจัดหางานหรือบอทคัดกรองเรซูเม่อัตโนมัติ ตรวจว่ามีข้อตกลงประมวลผลข้อมูลที่ระบุชัดว่าข้อมูลผู้สมัครถูกเก็บไว้ที่ไหน และผู้ให้บริการนำไปใช้ทำอะไรบ้าง ก่อนส่งข้อมูลผู้สมัครผ่านช่องทางเหล่านี้เป็นจำนวนมาก

9. มีช่องทางรับคำขอลบข้อมูลที่ระบุไว้ล่วงหน้า

ตรวจว่าทีมมีช่องทางกลางสำหรับรับคำขอเมื่อผู้สมัครหรืออดีตพนักงานต้องการให้ลบข้อมูลของตัวเองหรือยัง เช่น อีเมลกลางที่ระบุไว้ในฟอร์มสมัครงาน พร้อมกำหนดว่าใครในทีมเป็นคนรับเรื่องและจะตอบกลับภายในกี่วัน ถ้ายังไม่มีช่องทางนี้ คำขอที่ส่งมาทางข้อความส่วนตัวอาจถูกมองข้ามไปโดยไม่มีใครตั้งใจ

ข้อผิดพลาดที่พบบ่อยเมื่อเช็กลิสต์นี้ถูกข้ามไป

• เปิดรับสมัครงานรอบใหม่โดยใช้แบบฟอร์มเดิมที่ไม่เคยตรวจว่าถามคำถามเกินจำเป็นหรือไม่
• รวมความยินยอมข้อมูลอ่อนไหวไว้ในฟอร์มสมัครงานทั่วไปก้อนเดียว
• ไม่มีเอกสารระบุระยะเวลาเก็บเรซูเม่ผู้สมัครที่ถูกปฏิเสธเป็นลายลักษณ์อักษร
• ให้สิทธิ์ฟรีแลนซ์เข้าถึงไดรฟ์ทีมทั้งหมดเพื่อความสะดวก โดยไม่จำกัดเฉพาะโฟลเดอร์ที่เกี่ยวข้อง
• ใช้แพลตฟอร์มจัดหางานภายนอกโดยไม่เคยตรวจข้อตกลงประมวลผลข้อมูล

สรุปเช็กลิสต์ก่อนเปิดใช้งานจริง

เช็กลิสต์ทั้งเก้าข้อนี้ไม่ได้ออกแบบมาให้ทำครั้งเดียวจบ แต่ควรกลับมาไล่ทุกครั้งก่อนเปิดรับสมัครงานตำแหน่งใหม่ หรือก่อนเปลี่ยนระบบเก็บข้อมูล HR รอบใหญ่ ทีมที่ไม่มีคนดูแลเรื่องนี้เต็มเวลาสามารถใช้เช็กลิสต์นี้เป็นจุดเช็คด่วนก่อนกดเผยแพร่ทุกครั้ง แทนที่จะพึ่งความจำว่าเคยตรวจไปแล้วเมื่อไร

สำหรับทีมที่ต้องการวางระบบให้ครบวงจรมากกว่านี้ การไล่ทำทีละขั้นตอนตั้งแต่สำรวจข้อมูลไปจนถึงมอบหมายคนรับผิดชอบทบทวน มีรายละเอียดเพิ่มเติมใน วิธีวางระบบ PDPA สำหรับ HR และ Recruitment สำหรับเอเจนซี ส่วนทีมที่อยากตรวจให้ลึกกว่าเช็กลิสต์ด่วน ควรอ่านแนวทางการเก็บหลักฐานเพิ่มเติมประกอบ

ข้อควรระวังเรื่องความถี่ในการเช็ก

เช็กลิสต์นี้ไม่ได้แทนที่การตรวจสอบเชิงลึกที่ควรทำเป็นรอบ เพราะมันตอบแค่คำถามว่าก่อนเปิดใช้งานรอบนี้พร้อมหรือยัง ไม่ได้ตรวจว่าระบบทั้งหมดยังทำงานถูกต้องตลอดเวลาหรือไม่ ทีมที่จริงจังควรมีรอบตรวจสอบเชิงลึกแยกต่างหากทุกหกเดือน โดยเก็บหลักฐานทุกครั้งว่าตรวจอะไรไปบ้างและพบอะไรบ้าง

ความเสี่ยงหนึ่งที่พบได้บ่อยคือทีมทำเช็กลิสต์นี้ครั้งแรกอย่างละเอียด แล้วไม่กลับมาทำซ้ำอีกเลยในรอบถัดไป ทั้งที่ทีมมีคนเข้าออกและแบบฟอร์มมีการแก้ไขเพิ่มเติมตลอดเวลา การตั้งเตือนในปฏิทินทีมให้กลับมาไล่เช็กลิสต์นี้ทุกครั้งก่อนเปิดรับสมัครตำแหน่งใหม่ ช่วยแก้ปัญหานี้ได้โดยไม่ต้องเพิ่มขั้นตอนซับซ้อน

แหล่งข้อมูลอ้างอิงที่ควรตรวจสอบซ้ำ

ควรอ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลัก โดยเฉพาะประเด็นการขอความยินยอมสำหรับข้อมูลอ่อนไหวและระยะเวลาการเก็บรักษาข้อมูลผู้สมัครงาน เพราะยังมีแนวปฏิบัติเพิ่มเติมออกมาเป็นระยะ อ่านภาพรวมของพิลลาร์นี้เพิ่มเติมได้ที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรม และสำหรับทีมที่อยากตรวจให้ลึกกว่าเช็กลิสต์ด่วนพร้อมตัวอย่างหลักฐานที่ควรเก็บ อ่านเพิ่มเติมได้ที่ วิธี Audit PDPA สำหรับ HR และ Recruitment ของเอเจนซี