วิธี Audit PDPA สำหรับ HR และ Recruitment ของร้านค้าออนไลน์และ E-commerce พร้อม Evidence ที่ควรเก็บ

การ Audit PDPA ฝ่าย HR และ Recruitment ของร้านค้าออนไลน์ควรทำเป็นรอบทุก 6 เดือน โดยตรวจว่าใบสมัครพนักงานคลังสินค้า แอดมิน และไรเดอร์มีข้อมูลอ่อนไหวปนอยู่หรือไม่ ตรวจรอบเก็บ-ลบ CV ของผู้สมัครที่ไม่ผ่านการคัดเลือกในช่วงเปิดรับพนักงานชั่วคราวจำนวนมาก ตรวจสิทธิ์เข้าถึงข้อมูล HR ของหัวหน้าคลังและหัวหน้าทีมแต่ละสาขา และตรวจสัญญากับเอเจนซีจัดหาแรงงานหรือแพลตฟอร์มไรเดอร์ว่าระบุขอบเขตการใช้ข้อมูลไว้ชัดเจน

คืนก่อนวันเปิดแคมเปญ 11.11 ผู้จัดการฝ่ายบุคคลของร้านค้าออนไลน์แห่งหนึ่งนั่งไล่เปิดโฟลเดอร์ใบสมัครงานพนักงานคลังสินค้าชั่วคราวสี่สิบกว่าคนที่เพิ่งรับเข้ามาในสองสัปดาห์ที่ผ่านมา เธอพบว่าบางใบมีสำเนาบัตรประชาชนที่ระบุศาสนาแนบมาด้วย บางใบมีผลตรวจสุขภาพจากคลินิกที่เอเจนซีจัดหาแรงงานส่งต่อมาให้แบบไม่ได้ขอความยินยอมแยก และไม่มีใครในทีมจำได้ว่าเคยกำหนดวันลบไฟล์ของผู้สมัครที่ไม่ผ่านการคัดเลือกไว้เมื่อไหร่ นี่คือสภาพจริงของหลายร้านค้าออนไลน์ที่โตเร็วในช่วงเทศกาลขาย และคือเหตุผลที่การ Audit PDPA ฝ่าย HR ต้องเป็นกิจกรรมที่ทำซ้ำเป็นรอบ ไม่ใช่เอกสารที่เขียนไว้ครั้งเดียวแล้วเก็บเข้าลิ้นชัก

ทำไมร้านค้าออนไลน์ต้องตรวจ PDPA ฝ่าย HR เป็นรอบ ไม่ใช่ครั้งเดียว

ธุรกิจอีคอมเมิร์ซมีจังหวะการจ้างงานที่แตกต่างจากบริษัทอื่นอย่างชัดเจน คือมีช่วงพีคที่ต้องรับคนจำนวนมากในเวลาสั้น เช่น พนักงานแพ็คของช่วง 11.11 หรือ 12.12 แอดมินตอบแชทเสริมช่วงโปรโมชัน และบางร้านยังทำงานร่วมกับไรเดอร์หรือเอเจนซีจัดหาแรงงานภายนอกที่ไม่ได้เป็นพนักงานประจำ แต่ละครั้งที่รับคนเพิ่มแบบเร่งด่วน ทีมมักลัดขั้นตอนเพื่อความเร็ว เก็บเอกสารสมัครงานปนกันในไดรฟ์ส่วนกลาง หรือให้หัวหน้าคลังแต่ละสาขาคัดกรองเองโดยไม่มีมาตรฐานเดียวกัน การตรวจสอบเพียงครั้งเดียวตอนตั้งบริษัทจึงไม่มีทางครอบคลุมพฤติกรรมที่เปลี่ยนไปทุกฤดูขาย การกำหนดรอบตรวจทุกหกเดือน โดยเฉพาะก่อนเข้าสู่ฤดูขายใหญ่ จึงเป็นจังหวะที่เหมาะสมกว่าการรอให้มีปัญหาเกิดขึ้นก่อน อีกเหตุผลหนึ่งที่ทำให้การตรวจแบบครั้งเดียวใช้ไม่ได้ผลคือทีมฝ่ายบุคคลของร้านค้าออนไลน์ขนาดกลางมักมีคนเพียงหนึ่งหรือสองคนที่ดูแลทั้งเรื่องสรรหาและงานอื่นในบริษัทไปพร้อมกัน เมื่อไม่มีรอบตรวจที่กำหนดไว้ล่วงหน้าในปฏิทินงาน เรื่องนี้จึงมักถูกเลื่อนออกไปเรื่อยๆ จนกว่าจะมีเหตุการณ์บางอย่างมากระตุ้นให้ต้องกลับมาดู เช่น ผู้สมัครคนหนึ่งติดต่อมาสอบถามว่าทำไมยังมีอีเมลจากระบบสมัครงานส่งถึงเขา ทั้งที่ปฏิเสธไปสมัครงานที่นี่ตั้งแต่ปีก่อน

ขั้นตอน Audit PDPA ฝ่าย HR และ Recruitment สำหรับร้านค้าออนไลน์

1. ตรวจสอบช่องทางรับสมัครงานทั้งหมดที่เปิดใช้อยู่จริง — ไล่ดูว่าตำแหน่งพนักงานคลัง แอดมิน และไรเดอร์รับสมัครผ่านช่องทางใดบ้าง เพจเฟซบุ๊กของร้าน กลุ่มหางานท้องถิ่น เอเจนซีจัดหาแรงงาน หรือแพลตฟอร์มไรเดอร์ที่ร้านใช้อยู่ Evidence ที่ควรเก็บคือรายการช่องทางพร้อมประเภทข้อมูลที่แต่ละช่องทางส่งเข้ามา
2. สุ่มตรวจไฟล์ใบสมัครว่ามีข้อมูลอ่อนไหวปนมาหรือไม่ — เปิดสุ่มสำเนาบัตรประชาชนและใบสมัครของพนักงานคลังหรือแอดมินที่รับเข้ามาล่าสุด เพื่อดูว่ามีข้อมูลศาสนา หมู่เลือด หรือผลตรวจสุขภาพติดมาโดยไม่จำเป็นหรือไม่ Evidence ที่ควรเก็บคือบันทึกผลการสุ่มตรวจพร้อมวันที่ตรวจ
3. ตรวจว่าฟอร์มสมัครงานขอความยินยอมแยกสำหรับข้อมูลอ่อนไหวหรือไม่ — ตำแหน่งที่ต้องใช้แรงงานหนักอย่างพนักงานคลังอาจจำเป็นต้องสอบถามข้อมูลสุขภาพบางส่วน จุดนี้ต้องมีช่องยินยอมแยกต่างหากจากการยินยอมทั่วไป ไม่รวมไว้ในข้อความเดียวกัน Evidence ที่ควรเก็บคือภาพหน้าจอฟอร์มพร้อม log เวลาที่ผู้สมัครกดยินยอม
4. ตรวจรอบเก็บ-ลบ CV ของผู้สมัครที่ไม่ผ่านการคัดเลือกช่วงเปิดรับพนักงานชั่วคราว — ช่วงก่อนแคมเปญขายใหญ่มักมีผู้สมัครหลายร้อยคนต่อรอบ แต่ถูกคัดเลือกจริงเพียงส่วนน้อย ต้องตรวจว่าไฟล์ของผู้ที่ไม่ผ่านถูกลบตามรอบที่กำหนดไว้จริง ไม่ใช่ค้างอยู่ในโฟลเดอร์เผื่อรอบขายครั้งถัดไป Evidence ที่ควรเก็บคือ log การลบไฟล์พร้อมวันที่
5. ตรวจสิทธิ์เข้าถึงข้อมูล HR ของหัวหน้าคลังและหัวหน้าทีมแต่ละสาขา — ร้านค้าออนไลน์ที่มีหลายคลังหรือหลายสาขามักให้หัวหน้างานแต่ละจุดเข้าถึงไฟล์ใบสมัครเพื่อความสะดวก แต่ต้องตรวจว่าหัวหน้าคลังสาขา A เห็นเฉพาะผู้สมัครของสาขาตนจริงหรือไม่ ไม่ใช่เห็นข้อมูลของทุกสาขาปนกัน Evidence ที่ควรเก็บคือตาราง access control แยกตามสาขาและตำแหน่ง
6. ตรวจสัญญากับเอเจนซีจัดหาแรงงานและแพลตฟอร์มไรเดอร์ — หากร้านรับพนักงานคลังผ่านเอเจนซีภายนอก หรือทำงานร่วมกับไรเดอร์ผ่านแพลตฟอร์มบุคคลที่สาม ต้องตรวจว่าข้อตกลงระบุขอบเขตการส่งต่อข้อมูลผู้สมัครและมาตรการความปลอดภัยไว้ชัดเจน Evidence ที่ควรเก็บคือสำเนาสัญญาหรือ DPA กับผู้ให้บริการแต่ละราย
7. ตรวจรอบเก็บ-ลบเอกสารพนักงานที่ลาออกหรือหมดสัญญาจ้างชั่วคราว — พนักงานคลังหรือแอดมินที่จ้างเป็นรอบตามฤดูขายมักมีสัญญาสั้น ต้องตรวจว่าไฟล์ของคนที่หมดสัญญาแล้วถูกจัดการตามรอบที่กำหนด แยกจากเอกสารที่ต้องเก็บตามกฎหมายแรงงาน Evidence ที่ควรเก็บคือตารางสถานะพนักงานพร้อมวันที่สิ้นสุดสัญญาและวันที่ลบไฟล์
8. ตรวจว่าผู้สมัครที่เคยสมัครแล้วถูกเรียกกลับมาสัมภาษณ์ซ้ำในรอบใหม่มีการยืนยันความยินยอมใหม่หรือไม่ — ร้านค้าออนไลน์บางแห่งมักเรียกผู้สมัครหน้าเดิมกลับมาสัมภาษณ์ซ้ำทุกฤดูขาย โดยใช้ข้อมูลชุดเดิมที่เก็บไว้จากรอบก่อน ต้องตรวจว่ามีการขอความยินยอมใหม่หรือแจ้งผู้สมัครว่ายังเก็บข้อมูลของตนอยู่หรือไม่ แทนที่จะสันนิษฐานว่าความยินยอมเดิมยังใช้ได้ตลอดไป Evidence ที่ควรเก็บคือบันทึกการติดต่อยืนยันความยินยอมซ้ำในแต่ละรอบที่เรียกผู้สมัครกลับมา

ตารางสรุปรอบตรวจและ Evidence ที่ควรเก็บ

ตัวอย่างสถานการณ์ที่ทีม Audit มักเจอในร้านค้าออนไลน์

ในทางปฏิบัติ ทีมที่ลงมือ Audit จริงมักเจอสถานการณ์ที่ไม่ตรงกับที่คาดไว้ตอนวางแผน ตัวอย่างแรกคือทีมแอดมินตอบแชทที่จ้างเป็นกะช่วงเทศกาลขาย ซึ่งบางครั้งใช้บัญชีไลน์ส่วนตัวรับสมัครและนัดสัมภาษณ์กันเอง โดยไม่มีใครแจ้งฝ่ายบุคคลว่ามีการเก็บข้อมูลผู้สมัครไว้ในมือถือส่วนตัวของหัวหน้าทีมแอดมิน เมื่อ Audit เข้าไปตรวจจึงมักพบว่าไม่มีใครรู้ว่าไฟล์เหล่านั้นมีอยู่กี่ชุด และไม่มีการลบเมื่อรับคนเข้าทำงานเรียบร้อยแล้ว ตัวอย่างที่สองคือพนักงานคลังสินค้าที่ต้องผ่านการตรวจสุขภาพเบื้องต้นก่อนเริ่มงานเพราะต้องยกของหนักต่อเนื่องหลายชั่วโมง ผลตรวจสุขภาพเหล่านี้บางครั้งถูกส่งต่อจากคลินิกมาที่อีเมลกลางของฝ่ายบุคคลโดยไม่มีการเข้ารหัสหรือจำกัดผู้เปิดอ่าน ทั้งที่เป็นข้อมูลอ่อนไหวที่ควรจำกัดวงให้แคบที่สุด ตัวอย่างที่สามคือกรณีที่ร้านเปลี่ยนแพลตฟอร์มไรเดอร์กลางปีเพื่อลดค่าคอมมิชชัน แต่ไม่มีใครตรวจว่าข้อมูลไรเดอร์ชุดเดิมที่เคยส่งต่อให้แพลตฟอร์มเก่าถูกจัดการอย่างไรหลังยกเลิกสัญญา สถานการณ์เหล่านี้ชี้ให้เห็นว่าการ Audit ที่ดีต้องมองไปไกลกว่าขั้นตอนที่เขียนไว้เป็นทางการ และลงไปดูพฤติกรรมจริงของทีมหน้างานด้วย

จุดที่มักตกหล่นเมื่อร้านค้าออนไลน์โตเร็วในช่วงเทศกาลขาย

เมื่อยอดขายโตเร็ว ทีมปฏิบัติการมักถูกดึงไปโฟกัสที่การส่งของให้ทันและตอบแชทลูกค้าให้ไว จนขั้นตอนตรวจสอบข้อมูลผู้สมัครงานถูกมองว่าเป็นภาระเสริมที่รอได้ จุดสังเกตที่บอกว่าการตรวจสอบเริ่มหลวมคือเมื่อหัวหน้าคลังเริ่มขอสำเนาบัตรประชาชนของผู้สมัครทุกคนแบบเหมารวมโดยไม่คัดกรองว่าจำเป็นต่อการพิจารณาจริงหรือไม่ หรือเมื่อไม่มีใครในทีมตอบได้ว่าไฟล์ผู้สมัครรอบก่อนหน้าถูกลบไปแล้วหรือยังค้างอยู่ในไดรฟ์ส่วนกลาง การมีรอบตรวจที่ชัดเจนก่อนเข้าฤดูขายใหญ่แต่ละครั้งช่วยให้จับจุดเหล่านี้ได้ก่อนที่จะกลายเป็นความเคยชินของทีม อีกจุดที่มักถูกมองข้ามคือความสัมพันธ์ระหว่างฝ่ายบุคคลกับหัวหน้าคลังหรือหัวหน้าทีมแอดมิน ซึ่งมักไม่ได้ขึ้นตรงต่อกันในผังองค์กร ทำให้เมื่อฝ่ายบุคคลออกนโยบายเรื่องรอบลบไฟล์หรือการจำกัดสิทธิ์เข้าถึง หัวหน้าคลังบางสาขาอาจไม่ทราบหรือไม่ได้ปฏิบัติตามอย่างเคร่งครัด เพราะมองว่าเป็นเรื่องของฝ่ายบุคคลไม่ใช่หน้าที่ของตน การ Audit จึงควรรวมการพูดคุยกับหัวหน้างานหน้างานโดยตรง ไม่ใช่แค่ตรวจเอกสารนโยบายที่เขียนไว้บนกระดาษเพียงอย่างเดียว

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit PDPA ฝ่าย HR ของร้านค้าออนไลน์

ข้อผิดพลาดแรกคือขอสำเนาบัตรประชาชนแบบเต็มใบจากผู้สมัครทุกตำแหน่งโดยไม่ปกปิดข้อมูลศาสนาหรือข้อมูลอื่นที่ไม่จำเป็น ข้อผิดพลาดที่สองคือปล่อยให้เอเจนซีจัดหาแรงงานส่งต่อผลตรวจสุขภาพหรือประวัติมาให้โดยไม่มีการขอความยินยอมแยกจากผู้สมัคร ข้อผิดพลาดที่สามคือเก็บไฟล์ผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ในโฟลเดอร์ส่วนกลางแบบไม่มีวันหมดอายุ เพราะคิดว่าเผื่อฤดูขายครั้งหน้าจะเรียกกลับมาสัมภาษณ์ซ้ำ ข้อผิดพลาดที่สี่คือให้หัวหน้าคลังทุกสาขาเข้าถึงไฟล์ใบสมัครของทุกสาขาปนกัน ทั้งที่แต่ละคนควรเห็นเฉพาะข้อมูลของทีมตนเอง และข้อผิดพลาดสุดท้ายที่พบบ่อยไม่แพ้กันคือปล่อยให้ทีมแอดมินหรือทีมแชทใช้บัญชีส่วนตัวรับสมัครและเก็บข้อมูลผู้สมัครไว้เอง โดยไม่แจ้งฝ่ายบุคคลว่ามีข้อมูลชุดนี้อยู่ที่ใดบ้าง

สรุปการ Audit PDPA ฝ่าย HR สำหรับร้านค้าออนไลน์

การตรวจสอบ PDPA ฝ่าย HR ของร้านค้าออนไลน์ที่ใช้งานได้จริงต้องผูกกับจังหวะการจ้างงานจริงของธุรกิจ คือรอบก่อนฤดูขายใหญ่ที่มีการรับคนจำนวนมากในเวลาสั้น จุดที่ต้องเฝ้าระวังเป็นพิเศษคือข้อมูลอ่อนไหวในใบสมัคร รอบเก็บ-ลบไฟล์ผู้สมัครที่ไม่ผ่านการคัดเลือก และสิทธิ์เข้าถึงข้อมูลของหัวหน้างานแต่ละสาขา เมื่อมีรอบตรวจที่ชัดเจน ทีมจะจับปัญหาได้ตั้งแต่ก่อนเข้าฤดูขาย แทนที่จะมาไล่แก้ไขทีหลังตอนที่ไฟล์กระจัดกระจายไปแล้ว ทีมที่ทำ Audit เป็นประจำมักพบว่าครั้งที่สองและสามใช้เวลาน้อยลงกว่าครั้งแรกมาก เพราะปัญหาที่เคยพบถูกแก้ไปแล้วและกลายเป็นแนวปฏิบัติปกติของทีมหน้างานไปโดยอัตโนมัติ หากยังไม่เคยวางระบบตั้งต้น สามารถอ่านขั้นตอนวางระบบก่อนเริ่ม Audit ได้ที่ บทความวิธีวางระบบ PDPA ฝ่าย HR สำหรับร้านค้าออนไลน์ และดูภาพรวมหัวข้อธุรกิจอื่นเพิ่มเติมได้ที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรม

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงหลักการทั่วไปตามกรอบ PDPA จากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ทีม HR ของร้านค้าออนไลน์ควรติดตามประกาศและแนวปฏิบัติล่าสุดจากเว็บไซต์ทางการ เพื่อปรับรอบตรวจสอบภายในให้สอดคล้องกับการตีความล่าสุดอยู่เสมอ