PDPA สำหรับ HR และ Recruitment เมื่อเอเจนซีสร้างหน้ารับสมัครงานให้ลูกค้า: เปรียบเทียบทำเอง ใช้ปลั๊กอิน หรือใช้แพลตฟอร์มอย่าง trusty

เอเจนซีเว็บไซต์แห่งหนึ่งรับงานทำหน้า "สมัครงาน" ให้ลูกค้า 3 รายในเดือนเดียวกัน รายแรกเป็นคลินิกที่อยากรับสมัครพยาบาลผ่านฟอร์มแนบใบประกอบวิชาชีพ รายที่สองเป็นบริษัทโลจิสติกส์ที่อยากรับสมัครคนขับผ่านฟอร์มแนบใบขับขี่ ส่วนรายที่สามเป็นร้านอาหารที่แค่อยากได้ฟอร์มเรซูเม่ธรรมดา ทีมพัฒนาใช้โค้ดฟอร์มตัวเดียวกันก๊อปวางแล้วเปลี่ยนแค่ชื่อบริษัท โดยไม่มีใครคิดว่าใบประกอบวิชาชีพของพยาบาลกับใบขับขี่ของคนขับเป็นข้อมูลที่ต้องระวังต่างระดับกัน นี่คือความเสี่ยงที่เอเจนซีเจอบ่อยเมื่อทำหน้ารับสมัครงานให้ลูกค้าหลายอุตสาหกรรมพร้อมกัน

คำถามคือเอเจนซีควรดูแล PDPA ของหน้ารับสมัครงานลูกค้าแบบทำเอง ใช้ปลั๊กอินฟอร์มสำเร็จรูป หรือใช้แพลตฟอร์มอย่าง trusty ดี บทความนี้เทียบสามแนวทางตามงานจริงที่เอเจนซีต้องส่งมอบให้ลูกค้าหลายราย หากยังไม่เคยอ่านภาพรวม แนะนำให้เริ่มจากคู่มือ PDPA สำหรับ HR และ Recruitment สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์ก่อน แล้วค่อยกลับมาเทียบสามแนวทางในหน้านี้

สามแนวทางดูแลหน้ารับสมัครงานเมื่อเอเจนซีทำเว็บให้ลูกค้าหลายราย

ทำเอง (DIY): นักพัฒนาเขียนฟอร์มรับสมัครและ Policy เองทีละเว็บ

เอเจนซีที่มีนักพัฒนาประจำมักเขียนฟอร์มรับสมัครงานด้วยโค้ดเอง แล้วคัดลอกโครงประกาศความเป็นส่วนตัวจากงานก่อนหน้ามาปรับแก้ วิธีนี้ควบคุมดีไซน์และฟิลด์ได้ตามที่ลูกค้าขอ แต่ภาระตกอยู่ที่นักพัฒนาทั้งหมดในการจดจำว่าลูกค้ารายไหนขอเก็บเอกสารอ่อนไหวแบบใด เช่น ใบประกอบวิชาชีพที่อาจเปิดเผยข้อมูลสุขภาพทางอ้อม หรือใบขับขี่ที่ต้องเก็บสั้นกว่าเรซูเม่ทั่วไป เมื่อทำให้ลูกค้าหลายรายพร้อมกัน ความเสี่ยงที่จะใช้โค้ดหรือ Policy ชุดเดียวกันซ้ำโดยไม่ปรับตามความเสี่ยงของแต่ละอุตสาหกรรมก็เพิ่มขึ้น เพราะไม่มีระบบกลางเตือนว่าเว็บไหนต้องระวังเป็นพิเศษ

ใช้ปลั๊กอิน/Tool ฟอร์มสำเร็จรูป ติดตั้งแยกทีละลูกค้า

อีกทางคือใช้ปลั๊กอินฟอร์มสำเร็จรูปอย่าง Jotform หรือปลั๊กอิน WordPress ติดตั้งให้ลูกค้าแต่ละราย ข้อดีคือส่งมอบงานเร็วกว่าเขียนโค้ดเอง มี Template ฟอร์มให้เลือกและปรับแต่งฟิลด์ได้ไม่ยาก แต่ปลั๊กอินเหล่านี้ไม่รู้ว่าเว็บไหนเป็นคลินิกที่ต้องระวังข้อมูลสุขภาพมากกว่าร้านอาหารทั่วไป เอเจนซีต้องเป็นคนตัดสินใจปรับข้อความยินยอมและระยะเก็บข้อมูลเองทุกครั้ง และเมื่อดูแลลูกค้าหลายสิบราย การไล่ตรวจว่าปลั๊กอินเวอร์ชันไหนยังใช้ Template เก่าที่ยังไม่ปรับตามความเสี่ยงของลูกค้าแต่ละรายก็ทำได้ยากขึ้นเรื่อย ๆ โดยไม่มีแดชบอร์ดรวม

ใช้แพลตฟอร์มรวมศูนย์อย่าง trusty

trusty ให้เอเจนซีเพิ่มเว็บไซต์ลูกค้าหลายเว็บไว้ในที่เดียว และสแกนหน้ารับสมัครงานของแต่ละเว็บร่วมกับหน้าอื่นเพื่อตรวจว่ามีประกาศความเป็นส่วนตัวปรากฏหรือไม่ (Capability Status B — ใช้งานได้เมื่อเอเจนซีตั้งค่า Cookie Category ให้ครอบคลุมหน้ารับสมัครงานของลูกค้าแต่ละเว็บ ไม่ใช่ระบบที่แยกระดับความอ่อนไหวของอุตสาหกรรมให้อัตโนมัติ) Privacy Policy Generator ช่วยร่างหัวข้อจากข้อมูลที่เอเจนซีกรอกว่าฟอร์มลูกค้าแต่ละรายเก็บอะไรบ้าง แต่ทีมยังต้องเป็นคนแยกเองว่าลูกค้ารายไหนอยู่ในกลุ่มที่ต้องยกระดับการตรวจ เช่น คลินิกหรือธุรกิจที่เกี่ยวกับสุขภาพ ข้อจำกัดคือ trusty ไม่เห็นระบบ ATS ภายในหรือช่องทางรับสมัครที่ลูกค้าใช้เอง เช่น อีเมล HR ตรง หรือ LinkedIn

เลือกแนวทางอย่างไรเมื่อทำหน้ารับสมัครงานให้ลูกค้าหลายอุตสาหกรรม

สำหรับเอเจนซี คำถามสำคัญคือ "เมื่อลูกค้าถามว่าใบประกอบวิชาชีพหรือใบขับขี่ที่ผู้สมัครแนบมาถูกเก็บไว้ที่ไหนและใครเข้าถึงได้บ้าง เอเจนซีตอบได้หรือไม่" หากทำเองแบบกระจายทีละเว็บโดยไม่มีเอกสารกลาง คำตอบมักหลุดหายไปเมื่อทีมเปลี่ยนคนดูแลโปรเจกต์ เอเจนซีที่รับงานหน้ารับสมัครน้อยกว่า 5 ราย และมีนักพัฒนาที่เข้าใจ PDPA อยู่แล้วอาจทำเองได้ แต่เมื่อรับงานจากหลายอุตสาหกรรมพร้อมกัน การใช้ Template เดียวกันซ้ำโดยไม่แยกระดับความเสี่ยงมักเป็นจุดที่ลูกค้าตรวจพบทีหลังและตั้งคำถามกลับมา

แพลตฟอร์มรวมศูนย์อย่าง trusty ช่วยให้เอเจนซีเห็นสถานะหน้ารับสมัครของลูกค้าหลายรายในหน้าเดียว และช่วยร่างประกาศความเป็นส่วนตัวจากข้อมูลที่กรอกจริง แต่ไม่ได้ทำให้เอเจนซีไม่ต้องคิดเรื่องความเสี่ยงเฉพาะอุตสาหกรรมอีกต่อไป ทีมยังต้องเป็นคนบอกระบบว่าลูกค้ารายไหนอยู่ในกลุ่มที่ต้องยกระดับการตรวจ เช่น คลินิกหรือโรงเรียนที่เกี่ยวข้องกับข้อมูลผู้เยาว์ และควรแนะนำให้ลูกค้ากลุ่มนี้ปรึกษาผู้เชี่ยวชาญด้านกฎหมายเพิ่มเติมนอกเหนือจากผลสแกน

ดูภาพรวมหมวดความรู้อื่นที่เกี่ยวข้องได้ที่หมวด Business, Industry & SEO ซึ่งรวมแนวทาง PDPA ตามอุตสาหกรรมของลูกค้าที่เอเจนซีอาจต้องดูแลเว็บไซต์ด้วย เช่น สุขภาพ การศึกษา และอสังหาริมทรัพย์

อีกประเด็นที่เอเจนซีมักมองข้ามคือการส่งมอบงานเมื่อโปรเจกต์จบ หากเอเจนซีเป็นคนตั้งค่าฟอร์มรับสมัครและเก็บไฟล์ผู้สมัครไว้ในระบบของตัวเองแทนลูกค้า ต้องมีแผนโอนย้ายไฟล์และสิทธิ์เข้าถึงให้ลูกค้าอย่างชัดเจนเมื่อจบสัญญา ไม่ใช่ปล่อยให้ไฟล์ผู้สมัครงานเก่ายังค้างอยู่ในระบบของเอเจนซีโดยลูกค้าไม่รู้ตัว เพราะนั่นอาจกลายเป็นข้อมูลที่ไม่มีเจ้าของดูแลชัดเจนอีกต่อไป

ข้อจำกัดที่ต้องรู้ก่อนใช้แพลตฟอร์มแทนการทำเอง

ไม่ว่าเอเจนซีจะเลือกทางไหน ความรับผิดชอบทางกฎหมายต่อข้อมูลผู้สมัครงานยังอยู่ที่ลูกค้าในฐานะเจ้าของธุรกิจและเอเจนซีผู้ดูแลเว็บไซต์ ไม่ใช่ตัวเครื่องมือ trusty ช่วยตรวจว่าหน้ารับสมัครมีประกาศความเป็นส่วนตัวและควบคุม Tracking Script ตาม Consent ที่ตั้งค่าไว้ แต่ไม่เห็นระบบ ATS ภายในของลูกค้า ไม่เห็นว่าไฟล์ผู้สมัครถูกส่งต่อให้ตำแหน่งจัดการฝ่ายบุคคลของลูกค้าอย่างไร และไม่รู้ว่าลูกค้ามีระบบลบไฟล์ตามระยะเวลาหรือไม่

เมื่อรับงานจากลูกค้าที่เกี่ยวข้องกับข้อมูลอ่อนไหว เช่น คลินิกที่รับสมัครบุคลากรทางการแพทย์ หรือโรงเรียนที่รับสมัครครูที่ต้องทำงานกับผู้เยาว์ เอเจนซีควรแจ้งลูกค้าให้ปรึกษาผู้เชี่ยวชาญด้านกฎหมายเพิ่มเติม แทนที่จะสรุปเองว่าผลสแกนหรือ Trust Score ที่ได้เพียงพอแล้ว การอธิบายขอบเขตนี้ให้ลูกค้าฟังตั้งแต่ต้นโปรเจกต์ช่วยลดความเข้าใจผิดว่าเอเจนซียืนยันความถูกต้องทางกฎหมายให้แบบสมบูรณ์

คำถามที่พบบ่อย

เอเจนซีควรใช้ Template ฟอร์มรับสมัครงานเดียวกันกับลูกค้าทุกรายหรือไม่ ไม่ควรใช้แบบเดียวกันทั้งหมด เพราะลูกค้าแต่ละอุตสาหกรรมมีระดับความอ่อนไหวของข้อมูลต่างกัน เช่น คลินิกกับร้านอาหารควรมีข้อความยินยอมและระยะเก็บข้อมูลที่ต่างกัน

ปลั๊กอินฟอร์มสำเร็จรูปเพียงพอสำหรับหน้ารับสมัครงานของลูกค้าหรือไม่ เพียงพอในแง่ความเร็วของการติดตั้ง แต่เอเจนซียังต้องปรับข้อความยินยอมและระยะเก็บข้อมูลให้ตรงกับความเสี่ยงของธุรกิจลูกค้าแต่ละราย เพราะปลั๊กอินไม่รู้ว่าเว็บไหนเป็นธุรกิจที่ต้องระวังเป็นพิเศษ

trusty ช่วยแยกระดับความเสี่ยงของลูกค้าแต่ละอุตสาหกรรมให้อัตโนมัติหรือไม่ ไม่ใช่ trusty ตรวจว่าหน้ารับสมัครมีประกาศความเป็นส่วนตัวและควบคุม Tracking Script ตาม Consent ที่ตั้งค่า แต่เอเจนซียังต้องเป็นผู้ระบุเองว่าลูกค้ารายไหนอยู่ในกลุ่มความเสี่ยงสูงที่ต้องยกระดับการตรวจ

เช็กลิสต์ปฏิบัติ

• ทำรายการลูกค้าทั้งหมดที่เอเจนซีทำหน้ารับสมัครงานให้ พร้อมระบุอุตสาหกรรมและระดับความอ่อนไหวของข้อมูล
• ปรับประกาศความเป็นส่วนตัวและระยะเก็บข้อมูลให้ตรงกับความเสี่ยงของลูกค้าแต่ละราย ไม่ใช้ Template เดียวกันทุกเว็บ
• ทดสอบว่าฟอร์มรับสมัครงานของลูกค้าแต่ละเว็บมี Tracking Script ยิงก่อนผู้สมัครกด Accept หรือไม่
• ระบุลูกค้าที่อยู่ในกลุ่มความเสี่ยงสูง เช่น สุขภาพหรือการศึกษา และแนะนำให้ปรึกษาผู้เชี่ยวชาญด้านกฎหมายเพิ่มเติม
• กำหนดผู้รับผิดชอบฝั่งเอเจนซีและฝั่งลูกค้าสำหรับการอัปเดตประกาศเมื่อลูกค้าเปลี่ยนตำแหน่งที่เปิดรับ
• วางแผนโอนย้ายไฟล์และสิทธิ์เข้าถึงข้อมูลผู้สมัครงานให้ลูกค้าเมื่อจบโครงการ
• สอบถามลูกค้าเรื่องระบบ ATS หรือช่องทางรับสมัครอื่นนอกเว็บไซต์ ก่อนสรุปว่าประกาศความเป็นส่วนตัวครอบคลุมครบ

ข้อผิดพลาดที่พบบ่อย

• ใช้โค้ดฟอร์มและประกาศความเป็นส่วนตัวชุดเดียวกันกับลูกค้าทุกรายโดยไม่ปรับตามอุตสาหกรรม
• ไม่แจ้งลูกค้าที่เป็นธุรกิจสุขภาพหรือการศึกษาว่าควรปรึกษาผู้เชี่ยวชาญด้านกฎหมายเพิ่มเติม
• เก็บไฟล์ผู้สมัครงานของลูกค้าไว้ในระบบของเอเจนซีเองโดยไม่มีแผนโอนย้ายเมื่อจบโครงการ
• ไม่มีเอกสารกลางบันทึกว่าลูกค้าแต่ละรายเก็บข้อมูลผู้สมัครงานประเภทใดบ้าง ทำให้ตอบคำถามลูกค้าไม่ได้เมื่อเปลี่ยนทีม
• บอกลูกค้าว่าติดฟอร์มแล้ว "ผ่าน PDPA" โดยไม่อธิบายว่ายังมีระบบ ATS หรือช่องทางอื่นที่ไม่ได้ถูกตรวจ

สรุป

ทั้งสามแนวทางเหมาะกับสถานการณ์ต่างกัน ทำเองเหมาะกับเอเจนซีขนาดเล็กที่รับงานหน้ารับสมัครไม่กี่ราย ปลั๊กอินฟอร์มช่วยส่งมอบงานเร็วขึ้นแต่ยังต้องปรับตามความเสี่ยงของลูกค้าแต่ละราย ส่วนแพลตฟอร์มอย่าง trusty ช่วยรวมสถานะหน้ารับสมัครของลูกค้าหลายรายไว้ที่เดียวและร่าง Policy จากผลสแกน แต่ไม่เห็นระบบ ATS หรือช่องทางรับสมัครนอกเว็บไซต์ ไม่ว่าจะเลือกทางใด เอเจนซียังต้องเป็นผู้ประเมินความเสี่ยงเฉพาะอุตสาหกรรมของลูกค้าและแนะนำให้ปรึกษาผู้เชี่ยวชาญเมื่อจำเป็น

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)