อัปเดต PDPA สำหรับ HR และ Recruitment ปี 2026: สิ่งที่องค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงต้องทบทวน

ปี 2026 องค์กรการเงินและธุรกิจที่มีความเสี่ยงสูงควรทบทวน 3 จุดหลักของ PDPA ฝั่ง HR คือ การขอความยินยอมสำหรับข้อมูลอ่อนไหวในใบสมัคร (เช่น ประวัติอาชญากรรมที่ใช้ตรวจสอบพนักงานสายการเงิน) ระยะเวลาการเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก และรายชื่อคนในองค์กรที่เข้าถึงข้อมูลนี้ได้จริง หน่วยงานกำกับดูแลยังคงปรับแนวปฏิบัติเป็นระยะ จึงควรตรวจสอบกับ PDPC ทุกไตรมาสแทนที่จะยึดตามความเข้าใจเดิมจากปีก่อน

เช้าวันจันทร์ต้นเดือน หัวหน้าฝ่ายบุคคลของธนาคารขนาดกลางแห่งหนึ่งเปิดโฟลเดอร์ CV ผู้สมัครตำแหน่งเจ้าหน้าที่สินเชื่อที่ถูกปฏิเสธเมื่อสามปีก่อน แล้วพบว่าไฟล์เหล่านั้นยังอยู่ในระบบ ATS โดยไม่มีใครลบ พร้อมกับเอกสารประวัติอาชญากรรมที่ขอมาตอนสัมภาษณ์รอบสุดท้าย คำถามที่ผุดขึ้นทันทีคือ ถ้าผู้ตรวจสอบภายนอกขอดูวันนี้ ทีมจะอธิบายได้หรือไม่ว่าทำไมข้อมูลเหล่านี้ยังไม่ถูกลบ และใครในองค์กรเคยเปิดไฟล์เหล่านี้บ้าง

สถานการณ์แบบนี้พบได้บ่อยในองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง เพราะกระบวนการสรรหาบุคลากรมักต้องเก็บข้อมูลมากกว่าธุรกิจทั่วไป ทั้งประวัติอาชญากรรม ประวัติเครดิต และบางครั้งข้อมูลสุขภาพประกอบการพิจารณา ยิ่งเข้าสู่ปี 2026 แนวปฏิบัติของ PDPC ก็ยังคงมีการปรับปรุงรายละเอียดต่อเนื่อง บทความนี้สรุปสิ่งที่ฝ่าย HR ควรทบทวนใหม่ ไม่ใช่แค่ทำตามที่เคยทำเมื่อสองสามปีก่อน

สิ่งที่เปลี่ยนไปสำหรับ HR องค์กรการเงินในปี 2026

ประเด็นแรกที่ควรทบทวนคือขอบเขตของ "ข้อมูลอ่อนไหว" ในบริบทการสรรหาบุคลากรสายการเงิน หลายองค์กรตรวจสอบประวัติอาชญากรรมของผู้สมัครตำแหน่งที่เกี่ยวข้องกับเงินหรือข้อมูลลูกค้าโดยตรง ซึ่งข้อมูลประเภทนี้ต้องมีการขอความยินยอมแยกต่างหาก ไม่ใช่รวมอยู่ในข้อความยินยอมทั่วไปตอนสมัครงาน องค์กรที่ยังใช้แบบฟอร์มเดิมจากหลายปีก่อนควรตรวจสอบว่าช่องยินยอมนี้ยังครอบคลุมสิ่งที่ทำจริงหรือไม่

ประเด็นที่สองคือมาตรฐานของผู้ให้บริการตรวจสอบประวัติภายนอก (background check vendor) ธุรกิจการเงินมักจ้างบริษัทภายนอกให้ตรวจสอบประวัติผู้สมัคร สัญญากับผู้ให้บริการเหล่านี้ควรระบุบทบาทให้ชัดว่าเป็นผู้ประมวลผลข้อมูลแทนองค์กร ไม่ใช่เจ้าของข้อมูลอิสระ และควรมีเงื่อนไขการลบข้อมูลเมื่อจบภารกิจตรวจสอบ

ประเด็นที่สามที่หลายทีมมองข้ามคือการตรวจสอบซ้ำระหว่างการทำงาน ไม่ใช่แค่ตอนสมัครงานครั้งแรก บางตำแหน่งในสายการเงิน เช่น เจ้าหน้าที่ดูแลบัญชีลูกค้ารายใหญ่ อาจมีการตรวจสอบประวัติเครดิตหรือประวัติอาชญากรรมซ้ำเป็นระยะระหว่างที่ยังทำงานอยู่ หากองค์กรมีนโยบายแบบนี้ ต้องแจ้งพนักงานล่วงหน้าและขอความยินยอมสำหรับการตรวจซ้ำแต่ละครั้งเช่นกัน ไม่ใช่ถือว่าความยินยอมตอนสมัครงานครั้งแรกครอบคลุมไปตลอดอายุการทำงาน

ผลกระทบต่อกระบวนการสรรหาบุคลากรในทางปฏิบัติ

เมื่อทบทวนจุดข้างต้นแล้ว สิ่งที่ตามมาคือกระบวนการสรรหาบุคลากรอาจต้องปรับเวลาในการดำเนินการ เพราะการขอความยินยอมแยกต่างหากสำหรับข้อมูลอ่อนไหวหมายความว่าผู้สมัครต้องได้รับเวลาอ่านและตัดสินใจ ไม่ใช่ให้เซ็นรวมไปกับเอกสารอื่นอย่างเร่งรีบในวันสัมภาษณ์ หลายองค์กรเลือกส่งเอกสารนี้ล่วงหน้าก่อนวันสัมภาษณ์รอบสุดท้าย เพื่อให้ผู้สมัครมีเวลาอ่านและถามคำถามได้ก่อนตัดสินใจ

อีกผลกระทบที่ตามมาคือทีมสรรหาบุคลากรต้องมีความเข้าใจร่วมกันว่าข้อมูลชุดไหนต้องขอความยินยอมแบบใด เพราะถ้าผู้สัมภาษณ์แต่ละคนเข้าใจไม่ตรงกัน อาจเกิดกรณีขอข้อมูลอ่อนไหวจากผู้สมัครโดยไม่ผ่านขั้นตอนที่ถูกต้อง การจัดอบรมสั้นๆ ให้ทีมสรรหาบุคลากรทุกคนเข้าใจตรงกันจึงเป็นส่วนหนึ่งของการทบทวนในปี 2026 ที่ควรทำคู่กับการแก้ไขเอกสาร

ข้อมูลผู้สมัครงานที่ต้องทบทวนใหม่

สำหรับตำแหน่งที่เกี่ยวข้องกับเงินหรือการดูแลข้อมูลลูกค้าโดยตรง เช่น เจ้าหน้าที่สินเชื่อ พนักงานฝ่ายปฏิบัติการประกันภัย หรือทีมป้องกันการทุจริต การตรวจสอบประวัติอาชญากรรมและประวัติเครดิตเป็นเรื่องปกติของอุตสาหกรรม แต่สิ่งที่ต้องทำคู่กันคือแจ้งผู้สมัครล่วงหน้าว่าจะมีการตรวจสอบอะไรบ้าง ใช้ข้อมูลเพื่อวัตถุประสงค์ใด และเก็บไว้นานเท่าใด ไม่ใช่ขอข้อมูลเพิ่มเติมหลังผ่านรอบสัมภาษณ์โดยไม่แจ้งล่วงหน้า

อีกจุดที่มักถูกมองข้ามคือข้อมูลอ้างอิง (reference check) จากนายจ้างเก่า ซึ่งเป็นข้อมูลส่วนบุคคลของบุคคลที่สามที่ไม่ได้สมัครงานด้วยตนเอง องค์กรควรมีขั้นตอนที่ชัดเจนว่าจะติดต่อผู้อ้างอิงอย่างไร และเก็บบันทึกการติดต่อนั้นไว้เป็นหลักฐาน

ในบางกรณีองค์กรการเงินอาจขอดูรายงานเครดิตบูโรของผู้สมัครประกอบการพิจารณาตำแหน่งที่เกี่ยวข้องกับการอนุมัติสินเชื่อ ข้อมูลนี้มาจากบุคคลที่สามคือบริษัทข้อมูลเครดิต ต้องมีความยินยอมของผู้สมัครก่อนขอรายงานเสมอ และควรระบุให้ชัดว่าจะใช้ข้อมูลนี้เพื่อประกอบการตัดสินใจจ้างงานเท่านั้น ไม่ใช่นำไปใช้เพื่อวัตถุประสงค์อื่นโดยไม่แจ้งล่วงหน้า

ระยะเวลาการเก็บและลบข้อมูลผู้สมัคร

คำถามที่ฝ่าย HR มักถามคือ ควรเก็บ CV ของผู้สมัครที่ไม่ผ่านการคัดเลือกไว้นานเท่าไร คำตอบไม่มีตัวเลขตายตัวที่ใช้ได้กับทุกองค์กร แต่หลักการคือต้องกำหนดระยะเวลาที่ชัดเจนไว้ในนโยบายภายใน แจ้งให้ผู้สมัครทราบ แล้วลบหรือทำให้ไม่สามารถระบุตัวตนได้เมื่อพ้นกำหนด การเก็บไว้โดยอ้างว่า "เผื่อมีตำแหน่งเปิดใหม่ในอนาคต" โดยไม่มีกรอบเวลาถือเป็นความเสี่ยงที่ทบทวนได้ไม่ยาก เพียงตั้งระบบลบอัตโนมัติในโปรแกรม ATS ที่ใช้อยู่

ในกรณีพนักงานที่ลาออกหรือถูกเลิกจ้างไปแล้ว ไฟล์ HR ของบุคคลนั้นยังต้องเก็บตามกฎหมายแรงงานและภาษีในบางส่วน แต่ส่วนที่ไม่จำเป็นต้องใช้ต่อ เช่น บันทึกประเมินผลงานเก่า ควรมีกำหนดการทบทวนและลบเป็นรอบ ไม่ใช่เก็บสะสมไว้ในระบบตลอดไป

องค์กรบางแห่งเลือกแบ่งไฟล์พนักงานที่พ้นสภาพเป็นสองส่วน ส่วนแรกคือเอกสารที่ต้องเก็บตามกฎหมายแรงงาน ภาษี หรือประกันสังคม ซึ่งมีกรอบเวลาที่กฎหมายอื่นกำหนดไว้แล้ว และส่วนที่สองคือเอกสารที่องค์กรเก็บเพิ่มเติมเพื่อความสะดวกในการทำงาน เช่น บันทึกการประเมินผลงานย้อนหลังหลายปี ซึ่งส่วนนี้ควรมีรอบทบทวนของตัวเองแยกจากเอกสารตามกฎหมาย

สิทธิ์การเข้าถึงข้อมูล HR ภายในองค์กร

อีกจุดที่องค์กรการเงินควรทบทวนคือใครในองค์กรเข้าถึงข้อมูลผู้สมัครและพนักงานได้บ้าง หลักการที่ควรใช้คือ need-to-know หรือให้เข้าถึงเฉพาะข้อมูลที่จำเป็นต่อหน้าที่ของตนเอง เช่น ทีมสรรหาบุคลากรทั่วไปควรเห็นเฉพาะข้อมูลพื้นฐาน ส่วนทีมที่รับผิดชอบตรวจสอบสายงานความเสี่ยงสูงจึงเข้าถึงข้อมูลอ่อนไหวอย่างประวัติอาชญากรรมได้ การให้ทุกคนในฝ่าย HR เข้าถึงไฟล์เดียวกันหมดเป็นจุดที่ผู้ตรวจสอบภายในมักตั้งคำถามก่อนเสมอ

การทำ access matrix ที่ระบุว่าใครเข้าถึงข้อมูลชุดไหนได้ และทบทวนรายชื่อนี้เป็นระยะ ช่วยให้องค์กรตอบคำถามผู้ตรวจสอบได้เร็วขึ้นมาก แทนที่จะต้องไล่ตรวจสิทธิ์ทีละคนตอนถูกถาม

องค์กรขนาดใหญ่ที่มีระบบ HR แยกหลายแผนก ควรตรวจสอบด้วยว่าแผนกอื่นที่ไม่ใช่ฝ่ายบุคคลโดยตรง เช่น ฝ่ายตรวจสอบภายในหรือฝ่ายบริหารความเสี่ยง มีความจำเป็นต้องเข้าถึงข้อมูลผู้สมัครหรือพนักงานหรือไม่ หากมีความจำเป็นจริง ควรกำหนดขอบเขตข้อมูลที่แผนกเหล่านั้นเข้าถึงได้ให้แคบที่สุดเท่าที่งานจะยังทำได้ แทนที่จะให้สิทธิ์เข้าถึงแบบเต็มรูปแบบเหมือนฝ่าย HR โดยตรง

ข้อผิดพลาดที่พบบ่อยเมื่อทบทวน PDPA ฝั่ง HR ในปี 2026

• เก็บ CV ผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ไม่มีกำหนดเวลา
• ให้พนักงานทุกคนในฝ่าย HR เข้าถึงข้อมูลอ่อนไหวได้เท่ากันหมด
• ใช้ความยินยอมชุดเดียวสำหรับทั้งการสมัครงานและการตลาด
• ไม่ทบทวนสัญญากับผู้ให้บริการตรวจสอบประวัติภายนอกมาหลายปี

สิ่งสำคัญคือการทบทวนเหล่านี้ไม่จำเป็นต้องทำใหม่ทั้งหมดในคราวเดียว องค์กรที่มีทรัพยากรจำกัดสามารถเริ่มจากจุดที่มีความเสี่ยงสูงสุดก่อน เช่น ข้อมูลอ่อนไหวของผู้สมัครสายการเงิน แล้วค่อยขยายไปยังส่วนอื่นตามรอบทบทวนถัดไป

สรุป

การทบทวน PDPA ฝั่ง HR และ Recruitment ในปี 2026 สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง ไม่ใช่การเริ่มต้นใหม่ทั้งระบบ แต่เป็นการตรวจสอบสามจุดหลักซ้ำอีกครั้ง คือความยินยอมสำหรับข้อมูลอ่อนไหว ระยะเวลาการเก็บข้อมูลผู้สมัคร และสิทธิ์การเข้าถึงภายในองค์กร แนวทางที่ปลอดภัยที่สุดคือตรวจสอบกับ หน้ารวมความรู้ Business, Industry & SEO และเปรียบเทียบกับ เช็กลิสต์สำหรับองค์กรการเงิน เพื่อดูว่าจุดใดที่ทีมยังไม่ได้ทำ

แหล่งข้อมูลอ้างอิง

ตรวจสอบแนวปฏิบัติล่าสุดกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง เนื่องจากรายละเอียดเชิงปฏิบัติ เช่น ขอบเขตข้อมูลอ่อนไหวและมาตรฐานผู้ประมวลผลข้อมูลภายนอก มีการปรับปรุงเป็นระยะ องค์กรควรตั้งรอบทบทวนทุก 3 เดือนแทนที่จะยึดตามความเข้าใจเดิมจากปีก่อนหน้า และดูรายละเอียดขั้นตอนเพิ่มเติมได้ที่ แนวทาง Audit สำหรับองค์กรการเงิน