PDPA สำหรับ HR และ Recruitment ของร้านค้าออนไลน์: เปรียบเทียบทำเอง ใช้ปลั๊กอิน หรือใช้แพลตฟอร์มอย่าง trusty

ร้านค้าออนไลน์แห่งหนึ่งเปิดรับสมัครแอดมินตอบแชท พนักงานแพ็กของ และโฮสต์ไลฟ์สดพร้อมกัน 5 ตำแหน่งในหน้า "ร่วมงานกับเรา" บนเว็บไซต์ ผู้สมัครแนบสำเนาบัตรประชาชนและเรซูเม่ผ่านฟอร์มเดียวกับที่ทีมการตลาดใช้เก็บอีเมลลูกค้า พอฝ่ายบัญชีถามว่าไฟล์บัตรประชาชนผู้สมัครที่ไม่ได้งานถูกเก็บไว้ที่ไหนและลบเมื่อไร ไม่มีใครตอบได้ นี่คือช่องว่างที่ร้านค้าออนไลน์จำนวนมากเจอ เพราะโฟกัสอยู่ที่ PDPA ฝั่งลูกค้าจนลืมว่าหน้ารับสมัครงานก็เก็บข้อมูลส่วนบุคคลเช่นกัน

คำถามคือควรจัดการข้อมูลผู้สมัครงานบนเว็บไซต์แบบทำเอง ใช้ปลั๊กอินฟอร์มสำเร็จรูป หรือใช้แพลตฟอร์มอย่าง trusty ดี บทความนี้เทียบสามแนวทางตามสิ่งที่ร้านค้าออนไลน์เจอจริงในการรับสมัครพนักงาน หากยังไม่เคยอ่านภาพรวม แนะนำให้เริ่มจากคู่มือ PDPA สำหรับ HR และ Recruitment สำหรับร้านค้าออนไลน์และ E-commerceก่อน แล้วค่อยกลับมาเทียบสามแนวทางในหน้านี้

สามแนวทางจัดการข้อมูลผู้สมัครงานบนหน้าเว็บรับสมัคร

ทำเอง (DIY): ใช้ Google Form และเก็บไฟล์ใน Drive ของทีม HR

ร้านค้าออนไลน์ขนาดเล็กมักเริ่มจากสร้าง Google Form ฝังลงหน้าเว็บ ให้ผู้สมัครกรอกประวัติและแนบไฟล์ วิธีนี้ไม่มีค่าใช้จ่ายเพิ่มและปรับฟิลด์ได้ตามใจ แต่ภาระตกอยู่ที่ทีม HR ทั้งหมด ตั้งแต่การเขียนประกาศความเป็นส่วนตัวสำหรับผู้สมัครงานแยกจากประกาศฝั่งลูกค้า การตั้งสิทธิ์เข้าถึง Google Drive ที่เก็บสำเนาบัตรประชาชนให้จำกัดเฉพาะคนที่เกี่ยวข้อง ไปจนถึงการลบไฟล์ผู้สมัครที่ไม่ได้รับการคัดเลือกตามระยะเวลาที่กำหนดไว้เอง ร้านที่รับสมัครไม่บ่อยอาจจัดการได้ แต่พอโตขึ้นและเปิดรับหลายตำแหน่งพร้อมกัน ความเสี่ยงที่ไฟล์ผู้สมัครเก่าจะค้างอยู่ในโฟลเดอร์รวมโดยไม่มีใครลบก็เพิ่มขึ้นตามไปด้วย

ใช้ปลั๊กอิน/Tool ฟอร์มสำเร็จรูป เช่น Jotform หรือปลั๊กอิน WordPress

อีกทางคือใช้ปลั๊กอินฟอร์มสำเร็จรูปที่มีระบบจัดเก็บคำตอบและส่งอีเมลแจ้งอัตโนมัติ ข้อดีคือตั้งค่าเร็วกว่าทำเอง มีระบบแนบไฟล์และบางเจ้ามี Consent Checkbox ให้ติ๊กก่อนส่งฟอร์ม แต่ปลั๊กอินเหล่านี้ออกแบบมาเพื่อเก็บข้อมูลทั่วไป ไม่ได้ผูกกับ Cookie Consent ของหน้าเว็บหลักที่ร้านใช้กับลูกค้า ทำให้ทีมต้องเขียนข้อความยินยอมสำหรับผู้สมัครงานแยกต่างหาก และปลั๊กอินส่วนใหญ่ไม่มีระบบแจ้งเตือนอัตโนมัติว่าถึงกำหนดต้องลบข้อมูลผู้สมัครที่พ้นระยะเก็บแล้วหรือยัง ต้องอาศัยคนในทีมจำเอง ซึ่งในร้านที่หมุนเวียนพนักงานบ่อยมักหลุดจากรายการงานประจำ

ใช้แพลตฟอร์มอย่าง trusty ตรวจหน้ารับสมัครพร้อมหน้าลูกค้า

trusty สแกนหน้าเว็บไซต์รวมถึงหน้า "ร่วมงานกับเรา" ในฐานะหน้าหนึ่งของเว็บ ตรวจว่ามีประกาศความเป็นส่วนตัวปรากฏอยู่หรือไม่ และฟอร์มมี Tracking Script ยิงก่อนผู้ใช้ยินยอมหรือเปล่า (Capability Status B — ใช้งานได้เมื่อทีมตั้งค่า Cookie Category ให้ครอบคลุมหน้ารับสมัครด้วย ไม่ใช่แค่หน้าสินค้า) Privacy Policy Generator ช่วยร่างหัวข้อสำหรับข้อมูลผู้สมัครงานได้เมื่อทีมกรอกรายละเอียดว่าฟอร์มรับสมัครเก็บอะไรบ้าง แต่ต้องมีคนในทีมตรวจว่าเนื้อหาตรงกับสิ่งที่ HR เก็บจริง ข้อจำกัดที่ต้องรู้คือ trusty มองเห็นเฉพาะสิ่งที่ปรากฏบนหน้าเว็บสาธารณะ ไม่เห็นไฟล์ที่ผู้สมัครส่งผ่าน LINE OA, Facebook Inbox หรืออีเมลตรงถึง HR ซึ่งร้านค้าออนไลน์จำนวนมากใช้ควบคู่กับฟอร์มบนเว็บ

เลือกแนวทางอย่างไรเมื่อร้านค้าออนไลน์เปิดรับสมัครหลายตำแหน่งพร้อมกัน

ร้านค้าออนไลน์ที่เปิดรับสมัครไม่บ่อย เช่น ปีละ 1-2 ครั้ง อาจใช้ Google Form ได้โดยไม่ต้องเพิ่มเครื่องมือใหม่ ตราบใดที่มีคนรับผิดชอบเขียนประกาศความเป็นส่วนตัวสำหรับผู้สมัครงานและกำหนดวันลบไฟล์ชัดเจน แต่ร้านที่เติบโตเร็วและเปิดรับพนักงานตลอดปี เช่น แอดมินตอบแชทช่วงเทศกาลลดราคา หรือทีมแพ็กของช่วงพีค มักมีผู้สมัครหลายร้อยคนต่อรอบ การจัดการแบบกระจายทีละฟอร์มเสี่ยงให้ไฟล์บัตรประชาชนตกค้างในโฟลเดอร์ที่คนเข้าถึงได้กว้างเกินความจำเป็น

คำถามสำคัญที่ทีมควรถามตัวเองคือ "ใครเป็นเจ้าของข้อมูลผู้สมัครงานตั้งแต่สมัครจนถึงลบ" หากคำตอบกระจายอยู่ที่หลายคนโดยไม่มีเจ้าของชัดเจน ความเสี่ยงจะเพิ่มขึ้นไม่ว่าจะใช้เครื่องมือใด แพลตฟอร์มอย่าง trusty ช่วยให้ทีมเห็นสถานะของหน้ารับสมัครร่วมกับหน้าลูกค้าในที่เดียว และช่วยร่างประกาศความเป็นส่วนตัวจากข้อมูลที่กรอกจริง แต่ไม่ได้ทำหน้าที่เป็นระบบจัดเก็บและลบไฟล์ผู้สมัครแทน HR ทีมยังต้องมี Process ภายในกำหนดว่าไฟล์เก่าจะถูกลบเมื่อใดและใครเป็นผู้ลบ

ดูภาพรวมหมวดความรู้อื่นที่เกี่ยวข้องกับธุรกิจร้านค้าออนไลน์ได้ที่หมวด Business, Industry & SEO ซึ่งรวมแนวทาง PDPA ด้านอื่นของ E-commerce ที่มักเกี่ยวโยงกับหน้ารับสมัครงาน เช่น การจัดการ Cookie บนหน้าเว็บหลัก

อีกจุดที่ร้านค้าออนไลน์มักมองข้ามคือการแยกฐานข้อมูลผู้สมัครงานออกจากฐานข้อมูลลูกค้าอย่างชัดเจน เพราะทั้งสองกลุ่มมีวัตถุประสงค์การเก็บข้อมูลต่างกัน หากใช้ระบบ CRM เดียวกันเก็บทั้งสองกลุ่มโดยไม่แยกป้ายกำกับ (Tag) ความเสี่ยงคือทีมการตลาดอาจส่งอีเมลโปรโมชันไปหาผู้สมัครงานที่ไม่ได้ยินยอมรับข่าวสารในฐานะลูกค้า ซึ่งเป็นการใช้ข้อมูลผิดวัตถุประสงค์เดิมที่แจ้งไว้ตอนสมัครงาน

ข้อจำกัดที่ต้องรู้ก่อนใช้เครื่องมือจัดการข้อมูลผู้สมัครงาน

ไม่ว่าจะเลือกทางไหน ความรับผิดชอบต่อข้อมูลผู้สมัครงานยังอยู่ที่ร้านค้าในฐานะผู้ควบคุมข้อมูล ไม่ใช่ตัวเครื่องมือ trusty ช่วยตรวจว่าหน้ารับสมัครมีประกาศความเป็นส่วนตัวและควบคุม Tracking Script ตาม Consent เมื่อตั้งค่าให้ครอบคลุมหน้านั้นด้วย แต่ไม่เห็นข้อมูลที่ผู้สมัครส่งผ่านช่องทางอื่นนอกเว็บไซต์ เช่น แชท LINE OA อีเมลตรง หรือการยื่นใบสมัครกระดาษที่หน้าร้าน ทีม HR ต้องรวบรวมช่องทางเหล่านี้เองแล้วเขียนประกาศความเป็นส่วนตัวให้ครอบคลุมทุกช่องทางจริง ไม่ใช่แค่ฟอร์มบนเว็บ

ข้อมูลอย่างสำเนาบัตรประชาชนของผู้สมัครงานถือเป็นข้อมูลที่ต้องระมัดระวังเป็นพิเศษ เพราะมีรายละเอียดมากกว่าที่จำเป็นสำหรับการพิจารณาใบสมัคร หากงานไม่จำเป็นต้องใช้สำเนาบัตรตั้งแต่ขั้นตอนสมัคร ทีมควรพิจารณาขอเฉพาะข้อมูลที่จำเป็นก่อน แล้วค่อยขอเอกสารเพิ่มเติมเมื่อเข้าสู่ขั้นตอนตัดสินใจจ้างจริง ผลสแกนของ trusty ช่วยชี้ให้เห็นว่าหน้าฟอร์มขาดประกาศความเป็นส่วนตัวหรือไม่ แต่การตัดสินใจว่าฟิลด์ไหนควรเก็บหรือไม่เก็บยังเป็นการตัดสินใจของทีม HR

คำถามที่พบบ่อย

ร้านค้าออนไลน์ต้องมีประกาศความเป็นส่วนตัวแยกสำหรับผู้สมัครงานหรือไม่ ควรมี เพราะวัตถุประสงค์การเก็บข้อมูลผู้สมัครงานต่างจากข้อมูลลูกค้า การใช้ประกาศเดียวกันมักไม่ครอบคลุมประเด็นเฉพาะของการรับสมัคร เช่น การเก็บสำเนาบัตรประชาชนหรือระยะเวลาลบไฟล์ผู้ที่ไม่ได้งาน

ใช้ Google Form เก็บใบสมัครงานปลอดภัยพอหรือไม่ ใช้ได้ในทางเทคนิค แต่ทีมต้องกำหนดสิทธิ์เข้าถึงไฟล์ให้จำกัด เขียนประกาศความเป็นส่วนตัวเอง และมี Process ลบไฟล์ตามกำหนด เพราะ Google Form เองไม่ได้ทำหน้าที่เหล่านี้ให้อัตโนมัติ

trusty ช่วยจัดการข้อมูลผู้สมัครงานที่ส่งผ่าน LINE OA ได้หรือไม่ ไม่ได้ trusty ตรวจและช่วยร่างประกาศความเป็นส่วนตัวสำหรับสิ่งที่ปรากฏบนหน้าเว็บไซต์เท่านั้น ช่องทางอื่นอย่าง LINE OA หรือ Facebook Inbox ทีม HR ต้องจัดการและรวมไว้ในประกาศเองแยกต่างหาก

เช็กลิสต์ปฏิบัติ

• ทำรายการช่องทางรับสมัครงานทั้งหมด ทั้งหน้าเว็บ LINE OA Facebook และแบบฟอร์มกระดาษ
• เขียนประกาศความเป็นส่วนตัวสำหรับผู้สมัครงานแยกจากประกาศฝั่งลูกค้า ระบุข้อมูลที่เก็บและระยะเวลาเก็บ
• จำกัดสิทธิ์เข้าถึงไฟล์ผู้สมัครงาน เช่น สำเนาบัตรประชาชน ให้เฉพาะทีม HR ที่เกี่ยวข้อง
• กำหนดวันลบไฟล์ผู้สมัครที่ไม่ได้รับการคัดเลือกและมอบหมายผู้รับผิดชอบลบตามรอบ
• แยกฐานข้อมูลผู้สมัครงานออกจากฐานข้อมูลลูกค้าในระบบ CRM ไม่ให้ส่งอีเมลการตลาดผิดกลุ่ม
• ทดสอบว่าฟอร์มรับสมัครบนเว็บมี Tracking Script ยิงก่อนผู้สมัครกด Accept Cookie หรือไม่
• พิจารณาว่าฟิลด์ที่ขอ เช่น สำเนาบัตรประชาชน จำเป็นตั้งแต่ขั้นตอนสมัครหรือควรขอทีหลัง

ข้อผิดพลาดที่พบบ่อย

• ใช้ประกาศความเป็นส่วนตัวเดียวกับหน้าลูกค้าครอบคลุมหน้ารับสมัครงานโดยไม่ปรับเนื้อหา
• เก็บไฟล์บัตรประชาชนผู้สมัครในโฟลเดอร์ Drive ที่พนักงานทั้งบริษัทเข้าถึงได้
• ไม่มีกำหนดวันลบไฟล์ผู้สมัครที่ไม่ได้งาน ทำให้ข้อมูลค้างอยู่หลายปี
• ใช้ CRM เดียวกันเก็บทั้งลูกค้าและผู้สมัครงานโดยไม่แยกป้ายกำกับ จนส่งอีเมลโปรโมชันผิดกลุ่ม
• คิดว่าปลั๊กอินฟอร์มมี Consent Checkbox แล้วเท่ากับมีประกาศความเป็นส่วนตัวครบถ้วน

สรุป

ทั้งสามแนวทางเหมาะกับสถานการณ์ต่างกัน ทำเองด้วย Google Form เหมาะกับร้านที่รับสมัครไม่บ่อยและมีคนตรวจ Policy เอง ปลั๊กอินฟอร์มช่วยให้ตั้งค่าเร็วขึ้นแต่ยังต้องเขียนประกาศความเป็นส่วนตัวผู้สมัครงานแยกเอง ส่วนแพลตฟอร์มอย่าง trusty ช่วยตรวจหน้ารับสมัครร่วมกับหน้าลูกค้าและร่าง Policy จากผลสแกน แต่ไม่เห็นช่องทางรับสมัครนอกเว็บไซต์ ไม่ว่าจะเลือกทางใด ทีม HR ยังต้องเป็นผู้กำหนด Process ลบไฟล์และตรวจสอบความถูกต้องของประกาศความเป็นส่วนตัวเอง

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)