วิธีวางระบบ PDPA สำหรับ HR และ Recruitment สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์แบบเป็นขั้นตอน

การวางระบบ PDPA สำหรับ HR และ Recruitment ของเอเจนซีทำเว็บไซต์ เริ่มจากสำรวจว่าปัจจุบันเก็บข้อมูลผู้สมัครและพนักงานไว้ที่ไหนบ้าง แยกข้อมูลอ่อนไหวออกจากข้อมูลทั่วไป ออกแบบฟอร์มยินยอมเฉพาะสำหรับข้อมูลอ่อนไหว กำหนดระยะเวลาการเก็บข้อมูลผู้สมัครที่ถูกปฏิเสธและพนักงานที่ลาออก จำกัดสิทธิ์การเข้าถึงตามความจำเป็น และวางแผนรับมือเมื่อมีคนขอให้ลบข้อมูลของตัวเอง ทำครบเจ็ดขั้นตอนนี้แล้วทบทวนซ้ำเป็นระยะจะได้ระบบที่ใช้งานได้จริงกับทีมขนาดเล็ก

ทีมพัฒนาเว็บไซต์ขนาดเล็กที่ไม่มีฝ่าย HR แยกต่างหาก ควรเริ่มวางระบบ PDPA สำหรับงานสรรหาบุคลากรจากตรงไหนก่อน คำตอบสั้นๆ คือ ไม่ต้องเริ่มจากการเขียนนโยบายหนาๆ แต่เริ่มจากสำรวจว่าตอนนี้เก็บข้อมูลผู้สมัครและพนักงานไว้ที่ไหนบ้าง เพราะเอเจนซีส่วนใหญ่มีข้อมูลกระจายอยู่ในอีเมลของหัวหน้าทีม กลุ่มไลน์ และโฟลเดอร์ไดรฟ์ที่ตั้งชื่อไม่เป็นระบบ การรู้ว่าข้อมูลอยู่ที่ไหนบ้างคือจุดเริ่มต้นที่แท้จริง ไม่ใช่การไปหาแม่แบบเอกสารมาก็อปวาง

ข้อดีของการทำเป็นระบบทีละขั้นตอนคือ ทีมเล็กที่มีคนเดียวดูแลเรื่องนี้ควบคู่กับงานอื่นสามารถทำทีละส่วนได้โดยไม่ต้องหยุดงานประจำทั้งหมด แต่ละขั้นตอนด้านล่างออกแบบมาให้ใช้เวลาไม่กี่ชั่วโมงต่อครั้ง และทิ้งหลักฐานไว้ให้ตรวจสอบย้อนหลังได้เมื่อจำเป็น

หลายเอเจนซีเข้าใจผิดว่าการทำ PDPA ด้าน HR ต้องรอให้ทีมโตถึงระดับมีฝ่ายบุคคลแยกต่างหากก่อนถึงจะเริ่มได้ ในความเป็นจริง ทีมสองสามคนก็เริ่มได้ตั้งแต่วันนี้ เพราะสิ่งที่ต้องทำส่วนใหญ่คือการจัดระเบียบสิ่งที่มีอยู่แล้วให้ชัดเจนขึ้น ไม่ใช่การสร้างระบบใหม่ทั้งหมด และยิ่งเริ่มเร็ว จำนวนข้อมูลเก่าที่ต้องไล่ตรวจสอบย้อนหลังก็ยิ่งน้อยกว่าการปล่อยไว้อีกหลายปี

ทำไมเอเจนซีทำเว็บไซต์ต้องมีระบบนี้แยกจากงาน PDPA ด้านลูกค้า

เอเจนซีทำเว็บไซต์ส่วนใหญ่คุ้นเคยกับ PDPA ในมุมของลูกค้าปลายทาง เช่น การเก็บข้อมูลผู้ใช้เว็บไซต์ที่ตัวเองพัฒนาให้ลูกค้า แต่ข้อมูลผู้สมัครงานและพนักงานภายในทีมตัวเองก็อยู่ภายใต้กฎหมายเดียวกัน และมีความเสี่ยงเฉพาะตัวที่ต่างออกไป เพราะใบสมัครงานมักมีข้อมูลอ่อนไหว เช่น ศาสนา สุขภาพ หรือประวัติอาชญากรรม ซึ่งต้องขอความยินยอมโดยชัดแจ้ง ไม่ใช่แค่อ้างฐานสัญญาจ้างงานเหมือนข้อมูลทั่วไป

อีกจุดที่ต่างคือคนที่ตัดสินใจจ้างงานในเอเจนซีขนาดเล็กมักเป็นหัวหน้าทีมเทคนิคที่ไม่ได้ผ่านการอบรมด้าน HR มาก่อน จึงมีแนวโน้มขอข้อมูลเกินความจำเป็นโดยไม่รู้ตัว เช่น ขอสำเนาบัตรประชาชนตั้งแต่รอบสัมภาษณ์แรก ทั้งที่ยังไม่ได้ตัดสินใจจ้าง ระบบที่ออกแบบมาเฉพาะสำหรับงาน HR และ Recruitment จะช่วยป้องกันความหลวมแบบนี้ได้ตั้งแต่ต้นทาง

นอกจากนี้ เอเจนซีที่รับงานหลายโปรเจกต์พร้อมกันมักมีทั้งพนักงานประจำ ฟรีแลนซ์ที่รับงานเป็นครั้งคราว และผู้สมัครที่อยู่ระหว่างพิจารณา สามกลุ่มนี้มีความเสี่ยงต่างกัน พนักงานประจำมีข้อมูลสะสมยาวนานตลอดอายุงาน ฟรีแลนซ์อาจมีข้อมูลติดต่อและสัญญาที่กระจายอยู่หลายที่ ส่วนผู้สมัครที่ยังไม่ได้รับการตอบรับคือกลุ่มที่มักถูกลืมมากที่สุด เพราะไม่มีสัญญาจ้างผูกไว้ให้ต้องดูแลต่อ

ขั้นตอนการวางระบบ PDPA สำหรับ HR และ Recruitment ของเอเจนซี

ขั้นตอนที่ 1 สำรวจข้อมูลผู้สมัครและพนักงานที่มีอยู่จริง

เริ่มจากนั่งไล่ดูว่าปัจจุบันมีข้อมูลผู้สมัครและพนักงานเก็บอยู่ที่ไหนบ้าง ทั้งอีเมลส่วนตัวของหัวหน้าทีม โฟลเดอร์ไดรฟ์ แพลตฟอร์มจัดหางานที่เคยใช้ และเอกสารกระดาษถ้ามี ขั้นตอนนี้สำคัญเพราะทีมเล็กมักไม่รู้ตัวว่ามีข้อมูลกระจัดกระจายมากกว่าที่คิด หลักฐานที่ควรเก็บไว้คือรายการสรุปว่าข้อมูลกลุ่มไหนอยู่ที่ไหน พร้อมวันที่สำรวจ

วิธีทำที่ใช้ได้จริงคือเปิดตารางง่ายๆ หนึ่งแผ่น แล้วไล่ถามทุกคนในทีมว่าเคยรับสมัครงานผ่านช่องทางไหนบ้างในช่วงสองสามปีที่ผ่านมา บางครั้งจะพบว่ามีบัญชีแพลตฟอร์มจัดหางานเก่าที่ไม่มีใครใช้แล้วแต่ยังมีข้อมูลผู้สมัครค้างอยู่ หรือมีกลุ่มไลน์รับสมัครงานที่ตั้งไว้ชั่วคราวแล้วลืมปิด การสำรวจรอบแรกอาจใช้เวลาครึ่งวัน แต่จะเป็นฐานให้ขั้นตอนถัดไปทำได้เร็วขึ้นมาก

ขั้นตอนที่ 2 แยกข้อมูลอ่อนไหวออกจากข้อมูลทั่วไปในใบสมัคร

ไล่ดูแบบฟอร์มสมัครงานที่ใช้อยู่ปัจจุบัน แล้วทำเครื่องหมายว่าคำถามข้อไหนเป็นข้อมูลทั่วไป เช่น ประวัติการศึกษาและการทำงาน และข้อไหนเป็นข้อมูลอ่อนไหว เช่น ศาสนา สุขภาพ หรือประวัติอาชญากรรม ขั้นตอนนี้สำคัญเพราะข้อมูลสองกลุ่มนี้ต้องใช้ฐานทางกฎหมายที่ต่างกัน หลักฐานที่ควรเก็บไว้คือแบบฟอร์มเวอร์ชันเดิมที่มีการทำเครื่องหมายไว้ เพื่ออธิบายได้ว่าทำไมถึงต้องปรับฟอร์ม

ระหว่างไล่ดูแบบฟอร์ม มักพบคำถามที่ใส่ไว้ตั้งแต่แรกโดยไม่มีเหตุผลชัดเจน เช่น ถามสถานภาพสมรสหรือจำนวนบุตร ทั้งที่ไม่เกี่ยวข้องกับการตัดสินใจจ้างงานตำแหน่งพัฒนาเว็บไซต์เลย คำถามเหล่านี้ควรตัดออกไปเลยแทนที่จะเก็บไว้เผื่อใช้ในอนาคต เพราะยิ่งเก็บข้อมูลที่ไม่จำเป็นมากเท่าไร ความเสี่ยงเมื่อข้อมูลรั่วไหลก็ยิ่งสูงตามไปด้วยโดยไม่ได้ประโยชน์อะไรกลับมา

ขั้นตอนที่ 3 ออกแบบฟอร์มยินยอมเฉพาะสำหรับข้อมูลอ่อนไหว

แยกช่องทำเครื่องหมายยินยอมสำหรับข้อมูลอ่อนไหวออกจากใบสมัครหลัก ระบุให้ชัดว่าจะเก็บข้อมูลนี้ไปทำไม ใช้ประกอบการตัดสินใจอะไร และเก็บไว้นานแค่ไหน แทนที่จะรวมทุกอย่างไว้ในฟอร์มเดียวแล้วให้ผู้สมัครติ๊กยินยอมทั้งก้อน ขั้นตอนนี้ทิ้งหลักฐานเป็นบันทึกความยินยอมของผู้สมัครแต่ละคนที่ระบุวันที่และเวอร์ชันฟอร์มที่ใช้

ขั้นตอนที่ 4 กำหนดระยะเวลาการเก็บข้อมูลผู้สมัครที่ถูกปฏิเสธและพนักงานที่ลาออก

เขียนนโยบายสั้นๆ ระบุว่าเรซูเม่ผู้สมัครที่ไม่ผ่านการคัดเลือกจะเก็บไว้นานเท่าไรก่อนลบ เช่นหกเดือนถึงหนึ่งปี และแฟ้มประวัติพนักงานที่ลาออกจะเก็บไว้อีกกี่ปีตามความจำเป็นด้านบัญชีหรือแรงงานก่อนทำลาย ขั้นตอนนี้ทำให้ทีมตอบได้ทันทีเมื่อมีคนถามว่าข้อมูลของตัวเองถูกเก็บไว้นานแค่ไหน หลักฐานที่ควรเก็บไว้คือเอกสารนโยบายพร้อมวันที่ประกาศใช้และรอบทบทวน

เอเจนซีบางแห่งเลือกเก็บเรซูเม่ผู้สมัครที่ไม่ผ่านการคัดเลือกไว้นานเป็นพิเศษ โดยให้เหตุผลว่าเผื่อมีตำแหน่งใกล้เคียงเปิดใหม่ในอนาคต ถ้าจะทำแบบนี้จริง ควรแจ้งผู้สมัครไว้ตั้งแต่ตอนสมัครว่าจะเก็บนานเท่าไรและมีสิทธิ์ขอให้ลบก่อนกำหนดได้เสมอ ไม่ใช่เก็บไว้เงียบๆ โดยผู้สมัครไม่รู้ตัว ส่วนแฟ้มพนักงานที่ลาออกควรแยกออกจากระบบของพนักงานปัจจุบันทันทีเพื่อลดโอกาสที่คนที่ไม่เกี่ยวข้องจะเปิดดูโดยไม่ตั้งใจ

ขั้นตอนที่ 5 จำกัดสิทธิ์การเข้าถึงข้อมูล HR ตามความจำเป็น

แยกโฟลเดอร์ HR ออกจากโฟลเดอร์งานโปรเจกต์ทั่วไป แล้วให้สิทธิ์เข้าถึงเฉพาะคนที่จำเป็นต้องรู้จริง เช่น ผู้ก่อตั้งหรือคนดูแลเงินเดือน ไม่ใช่ทั้งทีม ขั้นตอนนี้สำคัญเพราะวัฒนธรรมแชร์ไดรฟ์แบบเปิดกว้างในทีมเล็กมักทำให้ข้อมูลเงินเดือนหรือผลประเมินหลุดไปถึงคนที่ไม่เกี่ยวข้อง หลักฐานที่ควรเก็บไว้คือรายชื่อคนที่มีสิทธิ์เข้าถึงพร้อมวันที่ทบทวนล่าสุด

ขั้นตอนที่ 6 วางแผนรับมือเมื่อมีคนขอให้ลบข้อมูลของตัวเอง

กำหนดล่วงหน้าว่าถ้าผู้สมัครหรืออดีตพนักงานขอให้ลบข้อมูลของตัวเอง ใครในทีมเป็นคนรับเรื่อง จะตรวจสอบอย่างไรว่าไม่มีเหตุผลทางกฎหมายอื่นที่ต้องเก็บต่อ และจะตอบกลับภายในกี่วัน ขั้นตอนนี้ป้องกันความสับสนตอนมีคำขอจริงเข้ามาแบบไม่ทันตั้งตัว หลักฐานที่ควรเก็บไว้คือบันทึกคำขอและวันที่ดำเนินการแต่ละครั้ง

คำขอแบบนี้มักมาทางช่องทางที่ไม่เป็นทางการ เช่น ข้อความส่วนตัวถึงหัวหน้าทีมโดยตรง หรืออีเมลสั้นๆ จากอดีตพนักงาน ถ้าไม่มีใครรู้ว่าต้องส่งเรื่องต่อให้ใคร คำขออาจถูกมองข้ามไปโดยไม่มีเจตนา การกำหนดช่องทางรับเรื่องเดียวที่ชัดเจน เช่น อีเมลกลางของทีม พร้อมกับกำหนดกรอบเวลาตอบกลับที่แน่นอน ช่วยให้ทั้งผู้ขอและทีมงานรู้ว่าจะเกิดอะไรขึ้นต่อไป

ขั้นตอนที่ 7 ทบทวนระบบเป็นระยะและมอบหมายเจ้าของงานชัดเจน

กำหนดให้มีคนหนึ่งคนรับผิดชอบทบทวนระบบนี้ทุกหกเดือน แม้จะเป็นคนเดิมที่ทำหน้าที่อื่นควบคู่ไปด้วยก็ตาม เพราะถ้าไม่มีเจ้าของงานชัดเจน ระบบที่วางไว้ดีแค่ไหนก็มักถูกลืมเมื่อทีมงานยุ่งกับโปรเจกต์ลูกค้า หลักฐานที่ควรเก็บไว้คือบันทึกการทบทวนแต่ละรอบพร้อมสิ่งที่ปรับปรุง

รอบทบทวนที่ทำได้จริงไม่จำเป็นต้องเป็นการประชุมยาว ใช้เวลาสักหนึ่งชั่วโมงไล่เช็กว่ามีเรซูเม่ที่ถึงกำหนดลบหรือยัง มีคนออกจากทีมที่ต้องตัดสิทธิ์เข้าถึงโฟลเดอร์ HR หรือไม่ และมีคำขอจากผู้สมัครหรืออดีตพนักงานที่ยังค้างอยู่หรือเปล่า การทำเป็นรอบสั้นแต่สม่ำเสมอ ได้ผลดีกว่าการรอทำทีเดียวปีละครั้งซึ่งมักถูกเลื่อนออกไปเรื่อยๆ เมื่อทีมงานยุ่ง

ข้อผิดพลาดที่พบบ่อยเมื่อวางระบบ HR ของเอเจนซี

• ขอสำเนาบัตรประชาชนหรือข้อมูลอ่อนไหวตั้งแต่รอบสัมภาษณ์แรกก่อนตัดสินใจจ้าง
• ใช้แบบฟอร์มยินยอมก้อนเดียวรวมทั้งข้อมูลทั่วไปและข้อมูลอ่อนไหวเข้าด้วยกัน
• ไม่มีใครรับผิดชอบทบทวนระบบ ทำให้นโยบายที่เขียนไว้ถูกลืมหลังผ่านไปไม่กี่เดือน
• เก็บเรซูเม่ผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ในอีเมลส่วนตัวโดยไม่มีกำหนดลบ
• ให้สิทธิ์เข้าถึงโฟลเดอร์ HR แบบเปิดกว้างทั้งทีมโดยไม่จำกัดตามความจำเป็น

สรุป

การวางระบบ PDPA สำหรับ HR และ Recruitment ของเอเจนซีทำเว็บไซต์ไม่ต้องใหญ่โตหรือซับซ้อน แค่ไล่ทำเจ็ดขั้นตอนนี้ตามลำดับ ตั้งแต่สำรวจข้อมูลที่มีอยู่จริง แยกข้อมูลอ่อนไหว ออกแบบฟอร์มยินยอมเฉพาะ กำหนดระยะเวลาเก็บข้อมูล จำกัดสิทธิ์การเข้าถึง วางแผนรับมือคำขอลบข้อมูล และมอบหมายเจ้าของงานทบทวน ระบบขนาดนี้ทีมสองสามคนก็ดูแลได้เอง โดยไม่ต้องรอมีฝ่าย HR เต็มรูปแบบ

แหล่งข้อมูลอ้างอิงที่ควรตรวจสอบ

ควรอ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลัก โดยเฉพาะประเด็นการขอความยินยอมสำหรับข้อมูลอ่อนไหวและระยะเวลาการเก็บรักษาข้อมูล ซึ่งยังมีแนวปฏิบัติเพิ่มเติมออกมาเป็นระยะ อ่านภาพรวมเพิ่มเติมได้ที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรม และดูรายการตรวจสอบก่อนเริ่มใช้งานจริงได้ที่ เช็กลิสต์ PDPA สำหรับ HR และ Recruitment สำหรับเอเจนซี