อัปเดต PDPA สำหรับ HR และ Recruitment ปี 2026: สิ่งที่ร้านค้าออนไลน์และ E-commerceต้องทบทวน

ในปี 2026 ร้านค้าออนไลน์ควรทบทวนสามเรื่องหลักด้าน PDPA ฝ่าย HR คือรอบเก็บ-ลบ CV ของผู้สมัครที่ไม่ผ่านการคัดเลือกในช่วงรับพนักงานชั่วคราวจำนวนมาก ข้อตกลงกับเอเจนซีจัดหาแรงงานหรือแพลตฟอร์มไรเดอร์ว่ายังระบุขอบเขตการใช้ข้อมูลไว้ชัดเจนหรือไม่ และการจำกัดสิทธิ์เข้าถึงข้อมูล HR เมื่อธุรกิจขยายสาขาเพิ่ม พร้อมติดตามแนวปฏิบัติล่าสุดจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอยู่เสมอ

ทุกปีในช่วงสองเดือนก่อนแคมเปญขายปลายปี ร้านค้าออนไลน์หลายแห่งเปิดรับพนักงานคลังสินค้าและแอดมินตอบแชทเพิ่มขึ้นจากช่วงปกติเกือบเท่าตัว บางร้านที่มีพนักงานประจำสิบกว่าคนอาจต้องรับพนักงานชั่วคราวเพิ่มอีกหลายสิบคนในเวลาไม่ถึงหนึ่งเดือน ตัวเลขนี้อธิบายว่าทำไมความเสี่ยงด้านข้อมูลผู้สมัครของธุรกิจอีคอมเมิร์ซจึงกระจุกตัวอยู่ในช่วงเวลาสั้นๆ ของทุกปี และเป็นเหตุผลที่ทีม HR ควรใช้จังหวะต้นปีหรือก่อนเข้าฤดูขายมาทบทวนแนวปฏิบัติของตัวเองใหม่ทุกครั้ง ไม่ใช่อาศัยเอกสารที่เขียนไว้ตั้งแต่ปีก่อนโดยไม่ปรับปรุง

ทำไมต้องทบทวนแนวปฏิบัติ PDPA ฝ่าย HR ทุกปี ไม่ใช่ตั้งครั้งเดียวจบ

สภาพแวดล้อมการรับสมัครงานของร้านค้าออนไลน์เปลี่ยนเร็วกว่าธุรกิจทั่วไป ปีนี้อาจเปลี่ยนเอเจนซีจัดหาแรงงานรายใหม่ เปิดสาขาคลังเพิ่มอีกจุด หรือเริ่มใช้แพลตฟอร์มไรเดอร์เจ้าใหม่ที่มีเงื่อนไขการส่งต่อข้อมูลต่างจากเดิม แนวปฏิบัติที่ทีมเขียนไว้เมื่อสองปีก่อนจึงอาจไม่ครอบคลุมความเสี่ยงของปีนี้แล้ว การใช้จังหวะต้นปีหรือก่อนเข้าฤดูขายทบทวนสามจุดหลักที่มักเปลี่ยนบ่อยที่สุด จะช่วยให้ทีมไม่ต้องแก้ปัญหาแบบเร่งด่วนกลางฤดูขาย

สัญญาณที่บอกว่าแนวปฏิบัติเดิมเริ่มตามไม่ทัน

บางทีทีม HR ไม่รู้ตัวว่าแนวปฏิบัติเดิมล้าสมัยไปแล้วจนกว่าจะเกิดปัญหาจริง สัญญาณที่พอสังเกตได้ล่วงหน้ามีอยู่หลายอย่าง เช่น จำนวนผู้สมัครต่อรอบเพิ่มขึ้นจนทีมเริ่มลบไฟล์ไม่ทันตามกำหนดที่วางไว้เดิม มีการเปลี่ยนผู้ให้บริการเอาต์ซอร์สหรือแพลตฟอร์มไรเดอร์แต่ไม่มีใครในทีมจำได้ว่าเคยตรวจสัญญาฉบับใหม่ละเอียดแค่ไหน หรือมีพนักงานสาขาใหม่ขอสิทธิ์เข้าถึงไฟล์ HR ของสาขาอื่นโดยไม่มีเหตุผลด้านหน้าที่ชัดเจน หากพบสัญญาณเหล่านี้แม้เพียงข้อเดียว ควรถือเป็นจุดเริ่มต้นของการทบทวนทันที ไม่ต้องรอถึงรอบทบทวนประจำปีตามกำหนดการเดิม

สิ่งที่ควรทบทวนซ้ำในปี 2026 สำหรับฝ่าย HR ของร้านค้าออนไลน์

1. ทบทวนรอบเก็บ-ลบ CV ของผู้สมัครที่ไม่ผ่านการคัดเลือก — ตรวจว่ารอบที่กำหนดไว้เดิมยังเหมาะกับปริมาณผู้สมัครของปีนี้หรือไม่ หากปีนี้มีผู้สมัครมากกว่าปีก่อนหลายเท่า อาจต้องปรับกระบวนการลบให้เป็นอัตโนมัติมากขึ้นแทนการลบด้วยมือทีละไฟล์
2. ทบทวนข้อตกลงกับเอเจนซีจัดหาแรงงานและแพลตฟอร์มไรเดอร์ที่ใช้อยู่ ณ ปัจจุบัน — หากเปลี่ยนผู้ให้บริการรายใหม่ในปีนี้ ต้องตรวจว่าสัญญาฉบับใหม่ระบุขอบเขตการส่งต่อข้อมูลผู้สมัครไว้ชัดเจนเทียบเท่าหรือดีกว่าฉบับเดิม
3. ทบทวนสิทธิ์เข้าถึงข้อมูล HR เมื่อธุรกิจขยายสาขาหรือคลังเพิ่ม — สาขาใหม่ที่เปิดระหว่างปีอาจถูกเพิ่มสิทธิ์เข้าถึงข้อมูลแบบเร่งด่วนโดยไม่ได้จำกัดตามหลัก need-to-know อย่างที่ตั้งใจไว้ตั้งแต่แรก ควรไล่ตรวจรายชื่อผู้มีสิทธิ์เข้าถึงอีกครั้ง
4. ทบทวนฟอร์มสมัครงานว่ายังขอความยินยอมแยกสำหรับข้อมูลอ่อนไหวครบทุกตำแหน่งใหม่ — ตำแหน่งใหม่ที่เปิดรับระหว่างปี เช่น พนักงานควบคุมคุณภาพหรือทีมตรวจสอบสต๊อก อาจต้องสอบถามข้อมูลสุขภาพเพิ่มจากเดิม และต้องมีช่องยินยอมแยกให้ครบ
5. ติดตามแนวปฏิบัติล่าสุดจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล — แนวทางการตีความบางประเด็น เช่น ขอบเขตของข้อมูลอ่อนไหวหรือมาตรฐานการขอความยินยอม อาจมีรายละเอียดที่ปรับปรุงเพิ่มเติม ทีมควรตรวจสอบประกาศล่าสุดจากเว็บไซต์ทางการก่อนสรุปว่าแนวปฏิบัติเดิมยังใช้ได้ครบถ้วน แทนที่จะอ้างอิงความเข้าใจเก่าโดยไม่ตรวจซ้ำ

ตัวอย่างรอบเก็บ-ลบ CV ที่ใช้ได้จริงในทางปฏิบัติ

ร้านค้าออนไลน์หลายแห่งแบ่งรอบเก็บ-ลบ CV ตามขั้นตอนที่ผู้สมัครไปถึง ผู้สมัครที่ตกรอบตั้งแต่การคัดกรองใบสมัครเบื้องต้น เช่น พนักงานคลังสินค้าที่สมัครเข้ามาจำนวนมากช่วงเปิดรับพนักงานชั่วคราว มักลบไฟล์ได้เร็วกว่า เช่น ภายใน 30-60 วันหลังประกาศผล เพราะไม่มีความจำเป็นต้องเก็บไว้นาน ส่วนผู้สมัครที่ผ่านเข้ารอบสัมภาษณ์ลึกแล้วแต่สุดท้ายไม่ได้รับการคัดเลือก เช่น ตำแหน่งหัวหน้าคลังหรือผู้จัดการแอดมิน ทีม HR บางแห่งเลือกเก็บไว้นานขึ้นถึง 6 เดือน โดยมีเงื่อนไขว่าต้องขอความยินยอมเพิ่มเติมแยกต่างหากว่าจะติดต่อกลับหากมีตำแหน่งใกล้เคียงเปิดในอนาคต ไม่ใช่การเก็บไว้แบบปริยายโดยไม่แจ้งผู้สมัคร สำหรับพนักงานที่ลาออกหรือพ้นสภาพจากตำแหน่งคลังสินค้าหรือแอดมิน ไฟล์ประวัติบางส่วน เช่น เอกสารที่เกี่ยวข้องกับการนำส่งเงินสมทบประกันสังคมหรือภาษีเงินได้ ต้องเก็บตามระยะเวลาที่กฎหมายด้านแรงงานและภาษีกำหนดไว้ ซึ่งมักนานกว่ารอบเก็บ CV ผู้สมัครทั่วไปมาก ทีม HR จึงควรแยกตารางเวลาการลบข้อมูลของผู้สมัครที่ไม่ผ่านการคัดเลือกออกจากตารางเวลาการเก็บไฟล์พนักงานที่พ้นสภาพแล้วให้ชัดเจน และมอบหมายให้เจ้าหน้าที่สรรหาที่ดูแลระบบโดยตรงเป็นผู้รับผิดชอบการลบไฟล์ตามรอบ ไม่ใช่ปล่อยให้ผู้จัดการสาขาที่เพียงยืมไฟล์ไปดูประกอบการตัดสินใจเป็นผู้ตัดสินใจลบเอง

สิ่งที่ยังไม่เปลี่ยนและยังต้องทำต่อเนื่อง

แม้รายละเอียดปลีกย่อยจะทบทวนใหม่ทุกปี แต่หลักการใหญ่บางอย่างยังคงเดิม คือข้อมูลผู้สมัครงานและพนักงานยังต้องถือเป็นข้อมูลส่วนบุคคลที่ต้องดูแลไม่ต่างจากข้อมูลลูกค้า ข้อมูลอ่อนไหวอย่างศาสนา สุขภาพ หรือประวัติอาชญากรรมยังต้องมีฐานทางกฎหมายที่เข้มกว่าปกติ และหลักการเก็บข้อมูลเท่าที่จำเป็นพร้อมกำหนดระยะเวลาที่ชัดเจนยังเป็นแนวทางหลักที่ใช้ตัดสินว่ารอบเก็บ-ลบของทีมเหมาะสมหรือไม่ ส่วนอายุขั้นต่ำหรือเงื่อนไขเฉพาะบางประเด็นที่อาจมีการปรับปรุงในรายละเอียด ทีมควรตรวจสอบกับแนวปฏิบัติล่าสุดของหน่วยงานกำกับดูแลโดยตรง แทนที่จะยึดตามความเข้าใจเดิมโดยไม่ตรวจสอบ

ใครควรมีสิทธิ์เข้าถึงข้อมูล HR บ้างเมื่อธุรกิจขยายสาขา

หลัก need-to-know ที่ต้องยึดต่อเนื่องแม้ธุรกิจจะขยายสาขาเพิ่มขึ้นทุกปี คือกำหนดให้ผู้จัดการฝ่ายบุคคลส่วนกลางเป็นผู้เห็นข้อมูลผู้สมัครและพนักงานได้ครบทุกสาขา ขณะที่เจ้าหน้าที่สรรหาควรเห็นเฉพาะผู้สมัครของตำแหน่งที่ตนดูแลอยู่จริง ผู้จัดการสาขาแต่ละแห่งควรเห็นได้เฉพาะข้อมูลพนักงานในสาขาของตนเอง ไม่ใช่ข้อมูลพนักงานสาขาอื่นที่ไม่เกี่ยวข้อง และฝ่ายบัญชีหรือการเงินที่ดูแลเรื่องเงินเดือนควรเห็นเฉพาะข้อมูลที่จำเป็นต่อการจ่ายเงิน เช่น เลขบัญชีและอัตราเงินเดือน โดยไม่จำเป็นต้องเห็นประวัติสุขภาพหรือผลการประเมินงานของพนักงานคนนั้น เมื่อเปิดสาขาใหม่ ทีม HR ควรกำหนดสิทธิ์เข้าถึงให้ผู้จัดการสาขาใหม่ตามหลักเดียวกันนี้ตั้งแต่วันแรก แทนที่จะให้สิทธิ์แบบกว้างชั่วคราวเพื่อความสะดวกแล้วลืมกลับมาจำกัดในภายหลัง

ข้อผิดพลาดที่พบบ่อยเมื่อไม่ทบทวนแนวปฏิบัติประจำปี

ข้อผิดพลาดแรกคือใช้แนวปฏิบัติเดิมจากปีก่อนต่อเนื่องโดยไม่ตรวจว่าเอเจนซีจัดหาแรงงานหรือแพลตฟอร์มไรเดอร์ที่ใช้อยู่เปลี่ยนไปแล้วหรือไม่ ข้อผิดพลาดที่สองคือไม่ปรับรอบลบไฟล์ให้ทันกับปริมาณผู้สมัครที่เพิ่มขึ้นในแต่ละปี ทำให้ไฟล์เก่าสะสมมากกว่าที่ควบคุมได้ และข้อผิดพลาดที่สามคือขยายสิทธิ์เข้าถึงข้อมูลให้สาขาใหม่แบบเร่งด่วนช่วงเปิดสาขาโดยไม่ย้อนกลับมาจำกัดสิทธิ์ตามหลัก need-to-know ในภายหลัง ตัวอย่างที่พบได้จริงคือผู้จัดการคลังสินค้าสาขาใหม่เก็บไฟล์ใบสมัครและสำเนาบัตรประชาชนของพนักงานคลังไว้ในสเปรดชีตที่แชร์ให้พนักงานแอดมินทุกคนในสาขาเข้าถึงได้ เพื่อความสะดวกในการเช็คชื่อเข้างานประจำวัน โดยไม่ได้ตั้งรหัสผ่านหรือจำกัดสิทธิ์การมองเห็นแต่อย่างใด ทำให้ข้อมูลอ่อนไหว เช่น ประวัติสุขภาพที่แนบมาพร้อมใบลาป่วยของพนักงานบางคน ถูกมองเห็นได้โดยเพื่อนร่วมงานที่ไม่มีความจำเป็นต้องรู้ ทั้งที่ทีม HR ส่วนกลางเคยกำหนดสิทธิ์เข้าถึงแบบจำกัดไว้แล้วตั้งแต่ต้น ปัญหานี้มักเกิดขึ้นในช่วงเปิดสาขาใหม่ที่ยังไม่มีเวลาอบรมผู้จัดการสาขาให้เข้าใจหลัก need-to-know อย่างครบถ้วนก่อนเริ่มงานจริง

สรุปการอัปเดต PDPA ฝ่าย HR สำหรับร้านค้าออนไลน์ในปี 2026

การทบทวนแนวปฏิบัติ PDPA ฝ่าย HR ทุกปีไม่ได้หมายความว่าต้องเปลี่ยนระบบทั้งหมดใหม่ทุกครั้ง แต่คือการไล่ตรวจสามจุดหลักที่เปลี่ยนเร็วที่สุดคือรอบเก็บ-ลบไฟล์ ข้อตกลงกับผู้ให้บริการภายนอก และสิทธิ์เข้าถึงข้อมูลเมื่อธุรกิจขยายตัว ก่อนเข้าสู่ฤดูรับสมัครพนักงานชั่วคราวรอบใหญ่ของปีนี้ หากยังไม่เคยวางระบบตั้งต้น สามารถย้อนไปอ่านขั้นตอนวางระบบเต็มรูปแบบได้ที่ บทความวิธีวางระบบ PDPA ฝ่าย HR สำหรับร้านค้าออนไลน์ และดูภาพรวมหัวข้อธุรกิจอื่นเพิ่มเติมได้ที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรม

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงหลักการทั่วไปตามกรอบ PDPA จากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ทีม HR ของร้านค้าออนไลน์ควรตรวจสอบประกาศและแนวปฏิบัติฉบับล่าสุดจากเว็บไซต์ทางการทุกครั้งก่อนเข้าสู่รอบรับสมัครพนักงานใหญ่ของปี เนื่องจากรายละเอียดบางส่วนอาจมีการปรับปรุงเพิ่มเติม