วิธี Audit PDPA สำหรับ HR และ Recruitment ขององค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง พร้อม Evidence ที่ควรเก็บ

การ audit PDPA ฝ่าย HR และ Recruitment ขององค์กรการเงินและประกันต้องตรวจสี่จุดหลักเป็นรอบ ได้แก่ ฐานทางกฎหมายของข้อมูลอ่อนไหวในเอกสารสมัครงาน รอบเก็บ-ลบข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกและพนักงานที่ลาออกแล้ว สิทธิ์เข้าถึงข้อมูล HR ภายในองค์กรว่ายังจำกัดเฉพาะผู้จำเป็นต้องใช้งานหรือไม่ และข้อตกลงกับผู้ให้บริการภายนอกที่เกี่ยวข้องกับข้อมูลบุคลากร แต่ละจุดควรมีหลักฐานเป็นเอกสารประกอบการทบทวนทุกครั้ง

องค์กรการเงินและประกันส่วนใหญ่มีทีม audit ที่ตรวจสอบข้อมูลลูกค้าอย่างเข้มงวดตามกรอบ compliance ของธุรกิจการเงินอยู่แล้ว แต่แทบไม่มีองค์กรไหน audit ข้อมูลผู้สมัครงานและพนักงานของตัวเองด้วยความเข้มข้นระดับเดียวกัน ทั้งที่ HR ถือครองข้อมูลอ่อนไหวของบุคลากรจำนวนมาก ตั้งแต่ประวัติสุขภาพในใบสมัครประกันสังคม ผลตรวจประวัติอาชญากรรมของพนักงานตำแหน่งที่เข้าถึงเงินลูกค้าได้ ไปจนถึงข้อมูลวินัยและผลประเมินที่กระทบต่อการจ้างงานต่อไป ปัญหานี้ไม่ใช่เรื่องของการไม่มีนโยบาย แต่เป็นเรื่องของการไม่มีรอบตรวจสอบที่ทำจริงและมีหลักฐานอ้างอิงได้ บทความนี้วางกรอบ audit ฝ่าย HR และ Recruitment สำหรับองค์กรที่มีความเสี่ยงสูง แบบที่ฝ่ายกฎหมาย Privacy Security และ Compliance ทำร่วมกันได้เป็นรอบ ไม่ใช่ตรวจครั้งเดียวแล้วจบ ปัญหาที่พบซ้ำในองค์กรลักษณะนี้คือทีม audit ภายในมักถูกจัดสรรเวลาให้กับความเสี่ยงด้านการเงินและการฟอกเงินเป็นอันดับแรก ส่วนความเสี่ยงด้านข้อมูลบุคลากรถูกจัดให้เป็นเรื่องรองเสมอ ทั้งที่ตำแหน่งงานหลายตำแหน่งในธุรกิจการเงินต้องผ่านการตรวจสอบพื้นฐานตามข้อกำหนดป้องกันการฟอกเงิน (AML) ซึ่งเกี่ยวพันโดยตรงกับข้อมูลส่วนบุคคลที่ต้องดูแลตาม PDPA ควบคู่กันไป การแยกสองเรื่องนี้ออกจากกันโดยไม่มีทีมใดรับผิดชอบร่วมมักทำให้เกิดช่องว่างที่ไม่มีใครสังเกตเห็นจนกว่าจะถูกตรวจสอบจากภายนอก

จุดที่ 1: ฐานทางกฎหมายของข้อมูลอ่อนไหวในเอกสารสมัครงาน

ตำแหน่งงานในองค์กรการเงินและประกันจำนวนมากเกี่ยวข้องกับการเข้าถึงเงินหรือข้อมูลลูกค้าโดยตรง ทำให้กระบวนการคัดเลือกมักรวมการตรวจประวัติอาชญากรรม ประวัติเครดิต หรือแม้แต่ข้อมูลสุขภาพสำหรับตำแหน่งที่มีเงื่อนไขด้านร่างกาย ข้อมูลเหล่านี้จัดเป็นข้อมูลอ่อนไหวตาม PDPA ที่ต้องมีฐานทางกฎหมายเข้มกว่าข้อมูลทั่วไป การ audit จุดนี้ต้องตรวจว่าฟอร์มสมัครงานและกระบวนการตรวจประวัติมีช่องขอความยินยอมแบบชัดแจ้งแยกจากการยินยอมทั่วไปหรือไม่ ผู้สมัครได้รับแจ้งก่อนที่จะถูกส่งไปตรวจประวัติกับหน่วยงานภายนอกหรือไม่ และฝ่าย HR มีบันทึกวันเวลาที่ผู้สมัครยินยอมแต่ละรายการเก็บไว้เป็นหลักฐานหรือไม่ ตัวอย่างที่พบบ่อยในการ audit จริงคือฝ่ายสรรหาส่งผู้สมัครตำแหน่งเจ้าหน้าที่สาขาไปตรวจประวัติอาชญากรรมทันทีหลังผ่านการสัมภาษณ์รอบแรก โดยแจ้งผู้สมัครเพียงวาจาว่า "จะมีการตรวจประวัติ" โดยไม่มีเอกสารยืนยันความยินยอมที่ระบุชัดเจนว่าผู้สมัครรับทราบขอบเขตของการตรวจสอบ เมื่อผู้ตรวจสอบภายในขอดูหลักฐาน ฝ่ายสรรหาจึงตอบได้เพียงว่า "ปกติจะแจ้งทุกคน" ซึ่งไม่ใช่หลักฐานที่ใช้ยืนยันได้จริง

รายการตรวจสอบและ Evidence สำหรับจุดที่ 1

• สุ่มตรวจฟอร์มสมัครงาน 10-15 ชุดล่าสุดว่ามีช่องยินยอมข้อมูลอ่อนไหวแยกจากข้อมูลทั่วไปหรือไม่ — Evidence: สำเนาฟอร์มพร้อมวันที่สุ่มตรวจ
• ตรวจว่าขั้นตอนตรวจประวัติอาชญากรรมมีการแจ้งผู้สมัครก่อนดำเนินการทุกครั้ง — Evidence: เอกสารแจ้งสิทธิ์หรืออีเมลแจ้งผู้สมัคร
• ตรวจ log วันเวลาที่ผู้สมัครกดยินยอมในระบบ ATS ว่ามีครบทุกรายที่ถูกส่งตรวจประวัติ — Evidence: รายงาน log จากระบบ ATS

จุดที่ 2: รอบเก็บ-ลบข้อมูลผู้สมัครและพนักงานที่ลาออกแล้ว

องค์กรขนาดใหญ่ที่รับสมัครต่อเนื่องตลอดปีมักสะสม CV ผู้สมัครเก่าไว้เป็นจำนวนมากโดยไม่มีรอบลบที่ชัดเจน เพราะฝ่ายสรรหาต้องการมี pool ผู้สมัครสำรองไว้เผื่อมีตำแหน่งเปิดใหม่ในอนาคต แต่การเก็บไว้โดยไม่มีกำหนดเวลาขัดกับหลักการเก็บข้อมูลเท่าที่จำเป็น การ audit จุดนี้ต้องตรวจว่าระบบมีนโยบายรอบเก็บ-ลบที่เป็นลายลักษณ์อักษรหรือไม่ นโยบายนั้นถูกบังคับใช้จริงหรือเป็นเพียงเอกสารที่เขียนไว้แต่ไม่มีใครทำตาม และแยกกรณีผู้สมัครที่ไม่ผ่านการคัดเลือกออกจากพนักงานที่ลาออกหรือถูกเลิกจ้างแล้วอย่างชัดเจน เพราะสองกลุ่มนี้มีเหตุผลทางกฎหมายในการเก็บข้อมูลต่างกัน

ตารางตรวจสอบรอบเก็บ-ลบข้อมูลที่ควร audit

จุดที่ 3: สิทธิ์เข้าถึงข้อมูล HR ภายในองค์กร

องค์กรขนาดใหญ่มีผู้เกี่ยวข้องกับกระบวนการ HR หลายฝ่าย ตั้งแต่ผู้จัดการสายงานที่ร่วมสัมภาษณ์ ฝ่ายจัดการเงินเดือนที่ต้องเห็นข้อมูลบัญชีธนาคาร ไปจนถึงฝ่าย IT ที่ดูแลระบบ ATS การ audit จุดนี้ต้องตรวจว่าสิทธิ์เข้าถึงข้อมูลถูกกำหนดตามหลัก need-to-know จริงหรือเป็นการให้สิทธิ์แบบกว้างเพื่อความสะดวกในการทำงาน ผู้จัดการที่ย้ายแผนกไปแล้วยังมีสิทธิ์เข้าถึงข้อมูลทีมเดิมอยู่หรือไม่ และบัญชีผู้ใช้งานในระบบ ATS ที่พนักงานลาออกไปแล้วถูกปิดใช้งานตรงเวลาหรือไม่ จุดที่มักพบในองค์กรขนาดใหญ่คือสิทธิ์การเข้าถึงถูกให้ไว้ตอนเริ่มงานแต่ไม่เคยถูกทบทวนอีกเลยตลอดอายุงาน อีกประเด็นที่ควร audit คือการแบ่งแยกหน้าที่ (segregation of duties) ภายในทีม HR เอง เช่น คนที่อนุมัติการจ้างงานไม่ควรเป็นคนเดียวกับคนที่ดูแลระบบจ่ายเงินเดือนโดยไม่มีการตรวจสอบไขว้กัน เพราะหากบุคคลเดียวควบคุมทั้งสองขั้นตอน ความเสี่ยงเรื่องข้อมูลถูกใช้ผิดวัตถุประสงค์หรือถูกปลอมแปลงจะสูงขึ้นตามไปด้วย

รายการตรวจสอบและ Evidence สำหรับจุดที่ 3

• ดึงรายชื่อผู้มีสิทธิ์เข้าถึงระบบ HR/ATS ทั้งหมดมาเทียบกับตำแหน่งงานปัจจุบัน — Evidence: รายงาน access list พร้อมวันที่ดึงข้อมูล
• ตรวจว่าบัญชีของพนักงานที่ลาออกหรือย้ายแผนกถูกปิดหรือปรับสิทธิ์ภายในกี่วันหลังวันที่มีผลจริง — Evidence: log การปิด/ปรับสิทธิ์บัญชี
• สุ่มสัมภาษณ์ผู้จัดการสายงาน 2-3 คนว่าเข้าใจขอบเขตสิทธิ์การเข้าถึงข้อมูลของตนถูกต้องหรือไม่ — Evidence: บันทึกสรุปการสัมภาษณ์

จุดที่ 4: ข้อตกลงกับผู้ให้บริการภายนอกด้านข้อมูลบุคลากร

องค์กรการเงินและประกันมักใช้บริการภายนอกหลายรายในกระบวนการ HR เช่น บริษัทตรวจประวัติอาชญากรรม บริษัทจัดการเงินเดือนและสวัสดิการ หรือระบบ ATS แบบ cloud ที่โฮสต์ข้อมูลไว้นอกองค์กร การ audit จุดนี้ต้องตรวจว่าแต่ละบริการมีข้อตกลงประมวลผลข้อมูล (DPA) ที่ระบุขอบเขตการใช้ข้อมูล มาตรการความปลอดภัย และตำแหน่งที่เก็บข้อมูลไว้ชัดเจนหรือไม่ หากผู้ให้บริการรายใดตั้งเซิร์ฟเวอร์อยู่นอกประเทศไทย องค์กรควรมีบันทึกไว้ว่าข้อมูลส่วนใดถูกส่งออกนอกประเทศและด้วยเหตุผลอะไร เพื่อให้ตอบคำถามจากหน่วยงานกำกับดูแลได้เมื่อถูกตรวจสอบ ไม่ใช่เพิ่งไปไล่หาคำตอบเมื่อถูกถามแล้ว

เอกสารประกอบที่ทีม audit มักลืมขอดู

นอกจากนโยบายและระบบที่เป็นทางการ ทีม audit ควรขอดูเอกสารที่มักถูกมองข้ามอีกสามชุด ชุดแรกคือประวัติการอบรมพนักงาน HR เรื่องการจัดการข้อมูลอ่อนไหว เพราะแม้จะมีนโยบายเขียนไว้ดีเพียงใด หากพนักงานที่ปฏิบัติงานจริงไม่เคยได้รับการอบรม นโยบายนั้นก็มีโอกาสถูกละเลยในทางปฏิบัติ ชุดที่สองคือรายงานเหตุการณ์ผิดปกติย้อนหลัง เช่น กรณีที่มีการส่งอีเมลข้อมูลผู้สมัครผิดคน หรือไฟล์ CV หลุดไปยังกลุ่มแชทที่ไม่เกี่ยวข้อง แม้จะเป็นเหตุการณ์เล็กที่ไม่ถึงขั้นรายงานหน่วยงานกำกับดูแล แต่ควรมีบันทึกไว้เพื่อดูแนวโน้มว่าปัญหาลักษณะเดียวกันเกิดซ้ำหรือไม่ ชุดที่สามคือสัญญาจ้างงานฉบับล่าสุดที่ระบุเงื่อนไขการดูแลข้อมูลส่วนบุคคลของพนักงาน เพราะบางองค์กรใช้แบบฟอร์มสัญญาเก่าที่ไม่ได้ปรับปรุงให้สอดคล้องกับแนวปฏิบัติ PDPA ปัจจุบัน

วางรอบ audit ให้เป็นกิจวัตร ไม่ใช่โครงการครั้งเดียว

องค์กรที่มีความเสี่ยงสูงอย่างธุรกิจการเงินและประกันควรกำหนดรอบ audit ฝ่าย HR อย่างน้อยทุกหกเดือน ไม่ใช่รอให้มีเหตุการณ์ข้อมูลรั่วไหลก่อนจึงค่อยมาตรวจย้อนหลัง การทำ audit เป็นกิจวัตรช่วยให้ทีมเห็นแนวโน้มปัญหาก่อนที่จะบานปลาย เช่น หากพบว่าทุกรอบมีบัญชีผู้ใช้งานเก่าที่ยังไม่ถูกปิดอยู่เสมอ นั่นเป็นสัญญาณว่ากระบวนการ offboarding มีช่องโหว่เชิงระบบ ไม่ใช่ความผิดพลาดเฉพาะราย ทีม Compliance ควรสรุปผล audit แต่ละรอบเป็นรายงานสั้นให้ผู้บริหารเห็นแนวโน้ม พร้อมระบุว่าจุดใดแก้ไขแล้ว จุดใดยังค้างอยู่จากรอบก่อนหน้า

ข้อผิดพลาดที่พบบ่อยในการ audit ฝ่าย HR ขององค์กรความเสี่ยงสูง

ข้อผิดพลาดแรกคือ audit เฉพาะนโยบายที่เป็นเอกสารโดยไม่สุ่มตรวจการปฏิบัติจริง ทำให้พบว่านโยบายเขียนไว้ดีแต่ทีมงานไม่ได้ทำตาม ข้อผิดพลาดที่สองคือมองข้ามบัญชีผู้ใช้งานเก่าของพนักงานที่ลาออกหรือย้ายแผนก เพราะคิดว่าเป็นเรื่องของฝ่าย IT ทั้งหมด ทั้งที่ฝ่าย HR ต้องเป็นผู้แจ้งวันที่มีผลจริงให้ IT ปิดบัญชีตรงเวลา ข้อผิดพลาดที่สามคือไม่แยกรอบเก็บข้อมูลของผู้สมัครที่ไม่ผ่านคัดเลือกออกจากพนักงานปัจจุบัน ทำให้ปฏิบัติเหมือนกันหมดทั้งที่ควรมีรอบต่างกัน และข้อผิดพลาดสุดท้ายคือไม่เคยตรวจ DPA กับผู้ให้บริการภายนอกเลยตั้งแต่เซ็นสัญญาครั้งแรก ทั้งที่ควรทบทวนทุกครั้งที่มีการต่อสัญญาหรือเปลี่ยนขอบเขตการใช้งาน

สรุปแนวทาง audit PDPA ฝ่าย HR สำหรับองค์กรความเสี่ยงสูง

การ audit ฝ่าย HR และ Recruitment ขององค์กรการเงินและประกันไม่ควรเป็นงานที่ทำเฉพาะเมื่อมีการตรวจสอบจากหน่วยงานภายนอก แต่ควรเป็นรอบตรวจสอบภายในที่ทำต่อเนื่องทุกหกเดือน ครอบคลุมทั้งฐานทางกฎหมายของข้อมูลอ่อนไหว รอบเก็บ-ลบข้อมูล สิทธิ์เข้าถึงภายใน และข้อตกลงกับผู้ให้บริการภายนอก แต่ละรอบควรมีหลักฐานเป็นเอกสารที่ตรวจสอบย้อนหลังได้ ไม่ใช่แค่ความรู้สึกว่า "น่าจะเรียบร้อยดี" อ่านภาพรวมของหัวข้อธุรกิจและอุตสาหกรรมอื่นเพิ่มเติมได้ที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรม และหากต้องการเช็กลิสต์สั้นสำหรับใช้ก่อนเปิดใช้งานระบบใหม่ สามารถอ่านต่อได้ที่ เช็กลิสต์ PDPA สำหรับ HR องค์กรความเสี่ยงสูง

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงหลักการทั่วไปตามกรอบ PDPA จากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ฝ่ายกฎหมายและ Compliance ควรติดตามประกาศและแนวปฏิบัติล่าสุดจากเว็บไซต์ทางการเพื่อปรับรอบ audit ภายในให้สอดคล้องกับการตีความล่าสุดอยู่เสมอ