เปรียบเทียบแนวทางจัดการ PDPA สำหรับ HR และ Recruitment สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง: ทำเอง ใช้ปลั๊กอิน หรือใช้แพลตฟอร์ม

ฝ่ายกฎหมาย Privacy Security และ Compliance ขององค์กรการเงิน บริษัทหลักทรัพย์ และธุรกิจประกันภัยมักตั้งคำถามว่าการดูแล PDPA ของงาน HR และ Recruitment ควรทำเองในทีม ใช้เครื่องมือสำเร็จรูป หรือใช้แพลตฟอร์มบริหารความพร้อมอย่าง trusty บทความนี้เปรียบเทียบสามแนวทางโดยเน้นความเสี่ยงที่สูงกว่าธุรกิจทั่วไป เพราะงาน Recruitment ในภาคการเงินเกี่ยวข้องกับข้อมูลอ่อนไหวและการตรวจสอบประวัติที่เข้มงวดกว่าอุตสาหกรรมอื่น

องค์กรกลุ่มนี้มักต้องตรวจสอบประวัติอาชญากรรม ประวัติทางการเงิน และคุณสมบัติที่เกี่ยวข้องกับใบอนุญาตประกอบวิชาชีพก่อนรับพนักงานเข้าทำงาน ข้อมูลเหล่านี้จัดอยู่ในกลุ่มที่ต้องยกระดับความระมัดระวังตาม TRUSTY-20 โดยเฉพาะมิติ Sensitive Data, Legal Basis, Vendor และ Governance เพราะมักมีบริษัท Background Check ภายนอกเข้ามาเป็น Third Party ในกระบวนการ

ความเสี่ยงเฉพาะของงาน HR และ Recruitment ในองค์กรการเงินและธุรกิจความเสี่ยงสูง

งาน Recruitment สายการเงินมักมีขั้นตอน Screening ที่ลึกกว่าปกติ เช่น ตรวจประวัติเครดิต ตรวจสอบใบอนุญาต ก.ล.ต. หรือ คปภ. ตามตำแหน่ง และตรวจประวัติอาชญากรรมสำหรับตำแหน่งที่เข้าถึงเงินหรือข้อมูลลูกค้า การส่งข้อมูลผู้สมัครไปยังบริษัท Background Check ภายนอกถือเป็นการส่งต่อข้อมูลให้ Third Party ซึ่งต้องมีฐานทางกฎหมายและข้อตกลงประมวลผลข้อมูลที่ผู้เชี่ยวชาญด้านกฎหมายต้องตรวจสอบ ไม่ใช่สิ่งที่ทีม HR ตัดสินใจเองได้ทั้งหมด

อีกความเสี่ยงคือการเก็บเอกสารประกอบการสมัคร เช่น สำเนาบัตรประชาชน สลิปเงินเดือนเก่า หรือรายงานเครดิตบูโร ซึ่งมักเก็บไว้นานเกินความจำเป็นเพราะไม่มีนโยบาย Retention ที่ชัดเจน องค์กรที่มีความเสี่ยงสูงควรมี Owner ที่รับผิดชอบการทำลายเอกสารเหล่านี้เมื่อพ้นระยะที่กำหนด และต้องบันทึกเป็น Evidence ว่าทำลายเมื่อใด

เปรียบเทียบ 3 แนวทางบริหารจัดการ PDPA ฝั่งงานบุคคล

ทำเอง (DIY)

บางองค์กรมีฝ่าย Compliance ที่แข็งแรงอยู่แล้วและเลือกทำ Data Inventory, Retention Schedule และ Consent Form เองทั้งหมด ข้อดีคือควบคุมรายละเอียดทางกฎหมายได้ตรงกับนโยบายภายในที่มีอยู่แล้ว แต่ข้อจำกัดคือใช้ทรัพยากรบุคคลมาก และการติดตามว่า Career Page หรือ Portal สมัครงานมี Tracking ก่อน Consent หรือไม่ มักต้องพึ่งทีม IT แยกต่างหาก ซึ่งบางองค์กรไม่มีทีมที่ตรวจจุดนี้เป็นประจำ

ใช้ปลั๊กอิน/เครื่องมือสำเร็จรูป

ปลั๊กอิน Cookie Consent หรือ Tool ตรวจ Privacy ทั่วไปช่วยจัดการ Banner บนเว็บไซต์หลักได้ในระดับพื้นฐาน แต่มักไม่ครอบคลุม Portal สมัครงานที่แยกระบบออกไป หรือ Third-party Background Check Vendor ที่เป็นความเสี่ยงหลักขององค์กรกลุ่มนี้ ทำให้ทีม Compliance ยังต้องตรวจสัญญากับ Vendor และทำ Vendor Risk Assessment เองอยู่ดี

ใช้แพลตฟอร์มอย่าง trusty

trusty ช่วยสแกน Portal สมัครงานเพื่อดู Banner, ทางเลือก Reject และ Tracking ก่อน/หลัง Consent (Capability Status A ในส่วนสแกนพื้นฐาน) และช่วยร่าง Privacy Policy จากข้อมูลกิจกรรมที่ผู้ใช้กรอกและผลสแกนที่ตรวจพบ (Capability Status B — ต้องให้ข้อมูล Vendor และ Legal Basis เพิ่มเองสำหรับกรณีที่ซับซ้อน) สิ่งที่ระบบไม่ครอบคลุมคือการตรวจสัญญากับบริษัท Background Check, การพิจารณาว่าการตรวจประวัติอาชญากรรมมีฐานทางกฎหมายรองรับหรือไม่ และการตรวจ Cross-border Transfer หากใช้ผู้ให้บริการต่างประเทศ ส่วนเหล่านี้ยังต้องให้ฝ่ายกฎหมายหรือ DPO พิจารณาเสมอ

รายละเอียดขั้นตอนเฉพาะสำหรับองค์กรกลุ่มนี้อยู่ใน คู่มือ PDPA สำหรับ HR และ Recruitment สำหรับองค์กรการเงินและธุรกิจความเสี่ยงสูง

ปัจจัยที่ต้องชั่งน้ำหนักก่อนตัดสินใจ

องค์กรที่มีฝ่าย Compliance เต็มรูปแบบและมีกระบวนการตรวจ Vendor อยู่แล้วอาจได้ประโยชน์จากการทำเองร่วมกับแพลตฟอร์มเฉพาะจุดสำหรับสแกนเว็บไซต์ ส่วนองค์กรที่ยังไม่มีทีมตรวจ Tracking และ Consent อย่างเป็นระบบ การใช้แพลตฟอร์มช่วยลดภาระงานพื้นฐานได้ แต่ไม่ว่าจะเลือกทางใด จุดที่ต้องมีคนรับผิดชอบเสมอคือการตรวจสัญญากับบริษัท Background Check และการยกระดับ Sensitive Data ให้ผู้เชี่ยวชาญพิจารณาก่อนเริ่มกระบวนการตรวจสอบประวัติทุกครั้ง

Trust Score หรือผลสแกนจากเครื่องมือใดก็ตามเป็นเพียงภาพสรุปของ Rule ที่ตรวจพบ ณ วันที่สแกน ไม่ใช่การยืนยันว่ากระบวนการตรวจสอบประวัติผู้สมัครทั้งหมดสอดคล้องกับกฎหมายและระเบียบภายในองค์กรครบทุกจุด ฝ่าย Compliance ยังต้องอ่าน Finding แต่ละข้อและตัดสินใจว่าจุดใดต้องส่งต่อฝ่ายกฎหมายหรือ DPO

สถานการณ์ที่พบบ่อย: ส่งข้อมูลผู้สมัครให้ Vendor ตรวจประวัติโดยไม่มีข้อตกลงประมวลผลข้อมูลชัดเจน

บริษัทหลักทรัพย์แห่งหนึ่งใช้บริการบริษัทภายนอกตรวจประวัติอาชญากรรมและประวัติเครดิตของผู้สมัครตำแหน่งที่เข้าถึงเงินลูกค้าโดยตรง ฝ่าย HR ส่งไฟล์สำเนาบัตรประชาชนและแบบฟอร์มยินยอมของผู้สมัครให้ Vendor ทางอีเมลตามที่เคยทำมาหลายปี โดยไม่มีสัญญาหรือข้อตกลงประมวลผลข้อมูลที่ระบุขอบเขตการใช้ข้อมูล ระยะเวลาเก็บ และวิธีทำลายข้อมูลของฝั่ง Vendor เมื่อฝ่าย Compliance เข้ามาตรวจภายหลัง พบว่าไม่มีใครทราบว่า Vendor เก็บสำเนาบัตรประชาชนของผู้สมัครที่ไม่ผ่านการคัดเลือกไว้นานแค่ไหน และไม่มีช่องทางยืนยันว่า Vendor ทำลายไฟล์ตามที่ควรหรือไม่

เมื่อไล่ตามกรอบ TRUSTY-20 มิติ Vendor และ Governance สถานการณ์นี้ชี้ให้เห็นความเสี่ยงสองชั้น ชั้นแรกคือความเสี่ยงจากการส่งข้อมูลอ่อนไหวออกนอกองค์กรโดยไม่มีข้อตกลงที่ผูกพัน Vendor ให้ปฏิบัติตามมาตรฐานเดียวกับองค์กรต้นทาง ชั้นที่สองคือการไม่มี Owner ฝั่งองค์กรที่ตรวจสอบ Vendor เป็นระยะ ทำให้ความเสี่ยงสะสมไปเรื่อย ๆ โดยไม่มีใครเห็นจนกว่าจะมีการตรวจสอบหรือเกิดเหตุการณ์ข้อมูลรั่วไหล กรณีนี้ไม่ใช่สิ่งที่ผลสแกนหน้าเว็บไซต์จะตรวจพบได้ เพราะเป็นกระบวนการภายในที่ไม่ปรากฏบนหน้าเว็บสาธารณะ

trusty ช่วยให้องค์กรเห็นว่าหน้า Portal สมัครงานมีประกาศความเป็นส่วนตัวที่กล่าวถึงการส่งต่อข้อมูลให้บุคคลที่สามหรือไม่ (Capability Status B — ต้องให้ทีมกรอกข้อมูลว่ามี Vendor ตรวจประวัติหรือไม่ ระบบไม่ทราบเองจากการสแกน) แต่ไม่สามารถตรวจสัญญาจริงระหว่างองค์กรกับ Vendor หรือยืนยันว่า Vendor ปฏิบัติตามข้อตกลงหรือไม่ ส่วนนี้ต้องเป็นหน้าที่ของฝ่ายกฎหมายและ Procurement ที่ตรวจสัญญาก่อนเริ่มใช้บริการทุกครั้ง และควรมีรอบทบทวน Vendor เป็นระยะ ไม่ใช่เซ็นสัญญาครั้งเดียวแล้วไม่ตรวจซ้ำ อุตสาหกรรมอื่นที่ต้องพิจารณาการแยกสิทธิ์เข้าถึงข้อมูลอ่อนไหวของผู้สมัครในลักษณะใกล้เคียงกันคือธุรกิจสุขภาพ ดูตัวอย่างเพิ่มเติมได้ใน เปรียบเทียบแนวทางจัดการ PDPA สำหรับ HR และ Recruitment สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

อีกสถานการณ์ที่เกี่ยวข้องกันคือเมื่อ Vendor ตรวจประวัติเป็นบริษัทต่างประเทศที่ประมวลผลข้อมูลบนเซิร์ฟเวอร์นอกประเทศไทย องค์กรการเงินหลายแห่งไม่ทราบว่าข้อมูลผู้สมัครถูกส่งไปประมวลผลที่ใดจนกว่าจะสอบถาม Vendor โดยตรง การส่งข้อมูลข้ามพรมแดนมีเงื่อนไขทางกฎหมายเฉพาะที่ต้องตรวจสอบแยกจากการส่งข้อมูลภายในประเทศ และไม่ใช่สิ่งที่ทีม HR หรือ Procurement จะตัดสินใจเองได้โดยไม่ปรึกษาฝ่ายกฎหมาย องค์กรที่ใช้ Vendor หลายรายพร้อมกันควรทำทะเบียน Vendor ที่ระบุประเทศที่ประมวลผลข้อมูล ประเภทข้อมูลที่ส่ง และวันที่ตรวจสัญญาล่าสุดไว้ในที่เดียว เพื่อให้ตรวจสอบย้อนหลังได้เมื่อฝ่าย Compliance หรือผู้ตรวจสอบภายนอกร้องขอ

• ทำทะเบียน Vendor ตรวจประวัติทุกรายที่ใช้งานอยู่ พร้อมระบุประเทศที่ประมวลผลข้อมูลและช่องทางส่งข้อมูล
• ขอสำเนาข้อตกลงประมวลผลข้อมูลจาก Vendor ทุกรายที่ยังไม่มีเอกสารนี้ ก่อนส่งข้อมูลผู้สมัครรอบถัดไป
• ตรวจสอบว่า Vendor มีขั้นตอนทำลายไฟล์ผู้สมัครที่ไม่ผ่านการคัดเลือกตามระยะเวลาที่องค์กรกำหนดหรือไม่
• กำหนดผู้รับผิดชอบฝั่งองค์กรที่ต้องได้รับแจ้งทุกครั้งเมื่อมีการเปลี่ยน Vendor ตรวจประวัติรายใหม่

องค์กรที่มีหลาย Vendor พร้อมกันควรกำหนดรอบทบทวนสัญญาอย่างน้อยปีละครั้ง และให้ฝ่ายกฎหมายเป็นผู้อนุมัติก่อนต่อสัญญาทุกครั้ง แทนการปล่อยให้สัญญาต่ออายุอัตโนมัติโดยไม่มีใครตรวจเงื่อนไขซ้ำ

เช็กลิสต์ปฏิบัติ

• ทำ Data Inventory ของทุกช่องทางที่เก็บข้อมูลผู้สมัคร รวมถึง Portal สมัครงานและอีเมล
• ตรวจสัญญากับบริษัท Background Check ว่ามีข้อกำหนดการประมวลผลข้อมูลชัดเจน
• ให้ผู้เชี่ยวชาญตรวจ Legal Basis ของการตรวจประวัติอาชญากรรมและประวัติเครดิต
• กำหนด Retention ของเอกสารอ่อนไหว เช่น สำเนาบัตรประชาชนและรายงานเครดิตบูโร
• ตรวจ Tracking Script บน Portal สมัครงานว่าทำงานก่อนหรือหลัง Consent
• เก็บ Consent Log และ Policy Version ทุกครั้งที่เปลี่ยน Vendor ตรวจสอบประวัติ
• มอบหมาย Owner สำหรับการทำลายเอกสารผู้สมัครที่พ้นระยะเก็บรักษา

ข้อผิดพลาดที่พบบ่อย

• ส่งข้อมูลผู้สมัครให้บริษัท Background Check โดยไม่มีข้อตกลงประมวลผลข้อมูลที่ชัดเจน
• เก็บสำเนาบัตรประชาชนและเอกสารการเงินของผู้สมัครไว้นานเกินความจำเป็น
• ให้ทีม HR ตัดสินใจ Legal Basis ของการตรวจประวัติอาชญากรรมเองโดยไม่ปรึกษาฝ่ายกฎหมาย
• ใช้ผลสแกนจากเครื่องมือใดก็ตามแทนการตรวจสัญญา Vendor จริง
• ไม่มี Owner ชัดเจนเมื่อผู้สมัครขอใช้สิทธิลบข้อมูลหลังไม่ผ่านการคัดเลือก

สรุป

งาน Recruitment ขององค์กรการเงินและธุรกิจความเสี่ยงสูงมีข้อมูลอ่อนไหวและ Third-party Vendor เข้ามาเกี่ยวข้องมากกว่าธุรกิจทั่วไป ทำเองเหมาะกับองค์กรที่มีฝ่าย Compliance แข็งแรงอยู่แล้ว ปลั๊กอินช่วยได้เฉพาะจุด Cookie บนเว็บไซต์หลัก ส่วนแพลตฟอร์มอย่าง trusty ช่วยลดงานสแกนและร่าง Policy พื้นฐาน แต่การตรวจสัญญา Vendor และ Legal Basis ของการตรวจสอบประวัติยังต้องให้ผู้เชี่ยวชาญตัดสินใจเสมอ

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)