PDPA สำหรับ HR และ Recruitment คืออะไร? คู่มือสำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง

PDPA สำหรับ HR และ Recruitment คืออะไร สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง คือคำถามที่องค์กร ฝ่ายกฎหมาย Privacy Security และ Complianceควรตอบให้ชัดเจนตั้งแต่ขั้นตอนเปิดรับสมัครงาน เพราะทุกใบสมัครที่เข้ามาล้วนมีข้อมูลส่วนบุคคลของผู้สมัคร ไม่ว่าจะเป็นผลตรวจสอบประวัติอาชญากรรม ผลตรวจสอบเครดิตบูโร และเอกสารรับรองคุณวุฒิที่ตำแหน่งงานด้านการเงินมักต้องขอเพิ่มเติมจากผู้สมัคร ข้อมูลเหล่านี้ถูกเก็บ ประมวลผล และบางส่วนถูกส่งต่อไปยังผู้ให้บริการภายนอกตลอดกระบวนการสรรหาบุคลากร ตั้งแต่วันที่เปิดรับสมัครจนถึงหลังประกาศผล

บทความนี้อธิบายภาพรวมของ PDPA สำหรับ HR และ Recruitment ในบริบทขององค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง ครอบคลุมตั้งแต่จุดที่ต้องขอความยินยอมจากผู้สมัคร ข้อมูลอ่อนไหวในใบสมัครงานที่ต้องระวังเป็นพิเศษ การแชร์ข้อมูลกับบริษัทตรวจสอบประวัติ ระยะเวลาเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก ไปจนถึงการจัดการข้อมูลพนักงานที่ลาออกแล้ว โดยเน้นแนวทางเชิงปฏิบัติที่นำไปปรับใช้ได้จริง ไม่ใช่การตีความตัวบทกฎหมายโดยละเอียด

บทความนี้อธิบายแนวทางเชิงปฏิบัติสำหรับทีมสรรหาบุคลากรที่ให้บริการหรือทำงานร่วมกับกลุ่มองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงเท่านั้น ไม่ใช่คำแนะนำทางกฎหมายเฉพาะกรณี ควรปรึกษาที่ปรึกษากฎหมายของตนเองประกอบการตัดสินใจ

PDPA สำหรับ HR และ Recruitment คืออะไร และเกี่ยวข้องกับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงอย่างไร

เมื่อพูดถึง PDPA สำหรับ HR และ Recruitment ในบริบทขององค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง สิ่งที่ต้องเข้าใจก่อนคือกระบวนการสรรหาบุคลากรทุกขั้นตอน ตั้งแต่เปิดรับสมัคร คัดกรองเรซูเม่ นัดสัมภาษณ์ จนถึงตรวจสอบประวัติก่อนรับเข้าทำงาน ล้วนเป็นการเก็บและประมวลผลข้อมูลส่วนบุคคลของผู้สมัคร บริษัทจึงมีสถานะเป็นผู้ควบคุมข้อมูล (Data Controller) ของข้อมูลผู้สมัครงานทุกคนที่ส่งใบสมัครเข้ามา ไม่ว่าจะได้รับการคัดเลือกหรือไม่ก็ตาม

สำหรับองค์กร ฝ่ายกฎหมาย Privacy Security และ Compliance ประเด็นที่ควรให้ความสำคัญเป็นอันดับแรกคือการรู้ว่าข้อมูลผู้สมัครแต่ละประเภทถูกเก็บไว้ที่ใด ใครเข้าถึงได้บ้าง และส่งต่อไปยังระบบหรือผู้ให้บริการภายนอกรายใดบ้าง เพราะตำแหน่งงานในภาคการเงินและประกันมักต้องตรวจสอบประวัติผู้สมัครละเอียดกว่าอุตสาหกรรมทั่วไป ทำให้ต้องส่งข้อมูลผู้สมัครไปยังบริษัทตรวจสอบประวัติภายนอก ซึ่งเพิ่มความเสี่ยงด้านการรั่วไหลของข้อมูล หากไม่มีภาพรวมที่ชัดเจน อาจตอบคำถามผู้สมัครหรือหน่วยงานที่เกี่ยวข้องไม่ได้เมื่อถูกสอบถาม

บริษัทต้องขอความยินยอมจากผู้สมัครงานตอนไหนบ้าง

บริษัทต้องขอความยินยอมจากผู้สมัครงานตอนไหนบ้าง เป็นคำถามที่พบบ่อยที่สุดสำหรับองค์กร ฝ่ายกฎหมาย Privacy Security และ Compliance ในทางปฏิบัติ การเก็บข้อมูลพื้นฐานเพื่อพิจารณาคัดเลือกตามตำแหน่งที่สมัคร เช่น เรซูเม่และประวัติการทำงาน มักอาศัยฐานความจำเป็นเพื่อดำเนินการตามคำขอก่อนทำสัญญาจ้างงาน ไม่จำเป็นต้องขอความยินยอมแยกต่างหาก แต่การเก็บข้อมูลเพิ่มเติมนอกเหนือจากที่จำเป็น เช่น การตรวจสอบประวัติอาชญากรรม การตรวจสุขภาพ หรือการเก็บเรซูเม่ไว้พิจารณาตำแหน่งอื่นในอนาคต จำเป็นต้องขอความยินยอมแยกต่างหากอย่างชัดเจน

สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง จุดที่มักลืมขอความยินยอมคือการเก็บเรซูเม่ของผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ในฐานข้อมูลเพื่อพิจารณาตำแหน่งอื่นในอนาคต ซึ่งต้องแจ้งวัตถุประสงค์นี้และขอความยินยอมจากผู้สมัครแยกต่างหาก ไม่ใช่เก็บไว้โดยอัตโนมัติเพราะคิดว่าเป็นประโยชน์ต่อผู้สมัครเอง

ข้อมูลอ่อนไหว (Sensitive Data) ในใบสมัครงาน ต้องระวังอะไรบ้าง

ข้อมูลอ่อนไหว (Sensitive Data) ในใบสมัครงาน ต้องระวังอะไรบ้าง เป็นอีกประเด็นที่องค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงต้องดูแลเป็นพิเศษ เพราะแบบฟอร์มใบสมัครงานหลายแห่งยังมีช่องกรอกข้อมูลที่เข้าข่ายข้อมูลอ่อนไหวโดยไม่จำเป็น เช่น ศาสนา หมู่เลือด หรือประวัติสุขภาพทั่วไปที่ไม่เกี่ยวข้องกับตำแหน่งงาน

แนวทางที่ทำได้จริงคือทบทวนแบบฟอร์มใบสมัครงานที่ใช้อยู่ ตัดช่องกรอกข้อมูลที่ไม่เกี่ยวข้องกับการพิจารณาคัดเลือกออก และสำหรับข้อมูลอ่อนไหวที่จำเป็นต่อตำแหน่งจริง เช่นผลตรวจสอบประวัติอาชญากรรม ผลตรวจสอบเครดิตบูโร และเอกสารรับรองคุณวุฒิที่ตำแหน่งงานด้านการเงินมักต้องขอเพิ่มเติมจากผู้สมัคร ควรระบุวัตถุประสงค์การเก็บให้ชัดเจนและขอความยินยอมแยกจากการสมัครงานทั่วไป

ขั้นตอนวางระบบดูแลข้อมูลผู้สมัครสำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง

การนำแนวทาง PDPA ไปใช้จริงกับกระบวนการสรรหาบุคลากรไม่จำเป็นต้องปรับระบบทั้งหมด แต่ควรมีขั้นตอนพื้นฐานที่ทำเป็นประจำดังนี้

1. ทบทวนแบบฟอร์มใบสมัครงานทุกตำแหน่ง ตัดช่องกรอกข้อมูลอ่อนไหวที่ไม่จำเป็นออก
2. แจ้งวัตถุประสงค์การเก็บข้อมูลผู้สมัครไว้ในหน้าใบสมัครงานหรือประกาศรับสมัครให้ชัดเจน
3. ขอความยินยอมแยกต่างหากสำหรับการตรวจสอบประวัติ การเก็บเรซูเม่ไว้พิจารณาตำแหน่งอื่นในอนาคต หรือการส่งข้อมูลให้บุคคลที่สาม
4. จำกัดสิทธิ์การเข้าถึงข้อมูลผู้สมัครเฉพาะทีม HR และผู้สัมภาษณ์ที่เกี่ยวข้องกับตำแหน่งนั้นจริง
5. ตรวจสอบสัญญาหรือข้อตกลงกับบริษัทตรวจสอบประวัติอาชญากรรมและเครดิต ระบบ ATS ระดับองค์กร และผู้ให้บริการตรวจสุขภาพก่อนเข้างานว่าระบุขอบเขตการใช้ข้อมูลผู้สมัครไว้ชัดเจน
6. กำหนดระยะเวลาเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก และลบข้อมูลเมื่อพ้นระยะเวลาที่กำหนด

การแชร์ข้อมูลผู้สมัครกับบริษัทตรวจสอบประวัติ (Background Check) ต้องเปิดเผยอย่างไร

การแชร์ข้อมูลผู้สมัครกับบริษัทตรวจสอบประวัติ (Background Check) ต้องเปิดเผยอย่างไร เป็นคำถามที่องค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงควรตอบให้ชัดก่อนส่งข้อมูลผู้สมัครออกนอกองค์กร เพราะการตรวจสอบประวัติมักต้องส่งข้อมูล เช่นผลตรวจสอบประวัติอาชญากรรม ผลตรวจสอบเครดิตบูโร และเอกสารรับรองคุณวุฒิที่ตำแหน่งงานด้านการเงินมักต้องขอเพิ่มเติมจากผู้สมัคร ไปยังบริษัทตรวจสอบประวัติอาชญากรรมและเครดิต ระบบ ATS ระดับองค์กร และผู้ให้บริการตรวจสุขภาพก่อนเข้างานเพื่อดำเนินการตรวจสอบ

แนวทางปฏิบัติที่ดีคือแจ้งผู้สมัครล่วงหน้าว่าจะมีการตรวจสอบประวัติในขั้นตอนใด ขอความยินยอมจากผู้สมัครก่อนส่งข้อมูลออกไปจริง และทำสัญญาหรือข้อตกลงกับบริษัทตรวจสอบประวัติให้ครอบคลุมการใช้ข้อมูลเฉพาะเพื่อวัตถุประสงค์การตรวจสอบที่ตกลงกันเท่านั้น ไม่นำไปใช้เพื่อวัตถุประสงค์อื่น

อย่าส่งข้อมูลผู้สมัครทั้งหมดในเรซูเม่ให้บริษัทตรวจสอบประวัติโดยไม่จำเป็น เช่น ส่งข้อมูลติดต่อครอบครัวทั้งที่บริษัทตรวจสอบต้องการเพียงข้อมูลเพื่อยืนยันตัวตนและประวัติที่เกี่ยวข้องกับตำแหน่งงานเท่านั้น เพราะขัดกับหลักการเก็บและส่งต่อข้อมูลเท่าที่จำเป็น

ผู้สมัครที่ไม่ผ่านการคัดเลือก ข้อมูลจะถูกเก็บไว้นานแค่ไหน

ผู้สมัครที่ไม่ผ่านการคัดเลือก ข้อมูลจะถูกเก็บไว้นานแค่ไหน คือคำถามที่องค์กร ฝ่ายกฎหมาย Privacy Security และ Complianceควรกำหนดคำตอบไว้ล่วงหน้าเป็นนโยบายภายใน ไม่ใช่ปล่อยให้เรซูเม่ของผู้สมัครที่ไม่ผ่านการคัดเลือกค้างอยู่ในระบบหรืออีเมลโดยไม่มีกำหนด แนวทางปฏิบัติที่ดีคือกำหนดระยะเวลาเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ชัดเจน เช่น เก็บไว้ระยะหนึ่งเผื่อมีตำแหน่งใกล้เคียงเปิดรับในอนาคต แล้วลบหรือทำให้ไม่ระบุตัวตนเมื่อพ้นระยะเวลาที่กำหนด

หากต้องการเก็บเรซูเม่ผู้สมัครไว้นานกว่าระยะเวลาปกติเพื่อพิจารณาตำแหน่งอื่นในอนาคต ควรแจ้งและขอความยินยอมจากผู้สมัครแยกต่างหากตามที่กล่าวไว้ในหัวข้อก่อนหน้า และควรมีช่องทางให้ผู้สมัครขอให้ลบข้อมูลของตนเองได้ทุกเมื่อหากไม่ต้องการให้เก็บไว้ต่อ

การตรวจสอบและเก็บหลักฐาน (Audit และ Evidence) สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง

เมื่อผู้สมัครหรือหน่วยงานที่เกี่ยวข้องตั้งคำถามเกี่ยวกับการจัดการข้อมูลใบสมัครงาน ทีม HR ควรมีหลักฐานพร้อมสนับสนุนได้เสมอ แนวทางตรวจสอบที่ควรทำเป็นประจำ ได้แก่ การทบทวนว่าแบบฟอร์มใบสมัครงานยังมีช่องกรอกข้อมูลอ่อนไหวที่ไม่จำเป็นหลงเหลืออยู่หรือไม่ การตรวจสอบว่าสัญญากับบริษัทตรวจสอบประวัติยังเป็นฉบับล่าสุดและครอบคลุมขอบเขตที่ใช้งานจริง และการเก็บบันทึกว่ามีการลบข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกตามกำหนดเวลาหรือไม่

หลักฐานที่มีประโยชน์ที่สุดเมื่อถูกร้องขอ คือเอกสารที่แสดงว่าทีม HR เก็บและส่งต่อข้อมูลผู้สมัครตามขอบเขตที่แจ้งไว้จริง พร้อมบันทึกเวลาที่ปรับปรุงแบบฟอร์มหรือเปลี่ยนแปลงผู้ให้บริการตรวจสอบประวัติ การจัดเก็บหลักฐานอย่างเป็นระบบช่วยให้ตอบคำถามได้รวดเร็วโดยไม่ต้องรื้อค้นย้อนหลังทุกครั้ง

พนักงานที่ลาออกแล้ว ข้อมูลในระบบ HR ต้องจัดการอย่างไร

พนักงานที่ลาออกแล้ว ข้อมูลในระบบ HR ต้องจัดการอย่างไร เป็นคำถามที่องค์กร ฝ่ายกฎหมาย Privacy Security และ Complianceมักมองข้ามหลังกระบวนการสรรหาจบลง แนวทางปฏิบัติที่ดีคือแยกการจัดการข้อมูลเป็นสองส่วน คือข้อมูลที่ต้องเก็บไว้ตามกฎหมายแรงงานหรือกฎหมายภาษี เช่น ประวัติการจ้างงานและเอกสารเงินเดือน ซึ่งมีระยะเวลาเก็บที่กำหนดไว้ชัดเจน กับข้อมูลอื่นที่ไม่จำเป็นต้องเก็บต่อ เช่น บันทึกการประเมินผลรายวันหรือข้อมูลติดต่อส่วนตัวที่ไม่เกี่ยวข้องกับการจ่ายเงินเดือนหรือการอ้างอิงในอนาคต

ด้านความปลอดภัย องค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงควรเพิกถอนสิทธิ์การเข้าถึงระบบ HR และบริษัทตรวจสอบประวัติอาชญากรรมและเครดิต ระบบ ATS ระดับองค์กร และผู้ให้บริการตรวจสุขภาพก่อนเข้างานของพนักงานที่ลาออกทันทีที่พ้นสภาพ และจำกัดสิทธิ์เข้าถึงประวัติพนักงานเก่าเฉพาะทีม HR ที่จำเป็นต้องใช้เพื่อออกเอกสารรับรองหรือตอบคำถามจากหน่วยงานที่เกี่ยวข้องเท่านั้น

ในทางปฏิบัติ ทีม HR ส่วนใหญ่ไม่จำเป็นต้องสร้างระบบตรวจสอบขึ้นใหม่ทั้งหมด แต่ควรผนวกขั้นตอนเหล่านี้เข้ากับบริษัทตรวจสอบประวัติอาชญากรรมและเครดิต ระบบ ATS ระดับองค์กร และผู้ให้บริการตรวจสุขภาพก่อนเข้างานที่ใช้งานอยู่แล้ว เพื่อให้การดูแลข้อมูลเป็นส่วนหนึ่งของกระบวนการทำงานปกติ สำหรับภาพรวมแนวทาง PDPA ที่แยกตามกลุ่มธุรกิจ ดูหมวดรวมได้ที่ คลังความรู้ Business & Industry SEO และหากสนใจกลุ่มคลินิก โรงพยาบาล และธุรกิจสุขภาพ ดูแนวทางเฉพาะได้ที่ PDPA สำหรับ HR และ Recruitment สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ ส่วนกลุ่มร้านค้าออนไลน์และ E-commerce ดูได้ที่ PDPA สำหรับ HR และ Recruitment สำหรับร้านค้าออนไลน์และ E-commerce

ถ้าต้องการเริ่มต้นตรวจสอบเว็บไซต์ของคุณเบื้องต้นแบบไม่มีค่าใช้จ่าย สามารถลองใช้ เครื่องมือตรวจสอบเว็บไซต์ฟรีของ trusty เพื่อดูจุดที่ควรปรับปรุงก่อนได้

เช็กลิสต์ปฏิบัติ

• ทบทวนแบบฟอร์มใบสมัครงาน ตัดช่องกรอกข้อมูลอ่อนไหวที่ไม่จำเป็นออก
• แจ้งวัตถุประสงค์การเก็บข้อมูลผู้สมัครไว้ในประกาศรับสมัครงาน
• ขอความยินยอมแยกต่างหากสำหรับการตรวจสอบประวัติและการเก็บเรซูเม่ไว้ใช้ในอนาคต
• จำกัดสิทธิ์การเข้าถึงข้อมูลผู้สมัครเฉพาะทีม HR และผู้สัมภาษณ์ที่เกี่ยวข้อง
• กำหนดระยะเวลาเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกและลบเมื่อครบกำหนด
• เพิกถอนสิทธิ์การเข้าถึงระบบ HR ของพนักงานที่ลาออกทันทีที่พ้นสภาพ

ข้อผิดพลาดที่พบบ่อย

• เก็บข้อมูลอ่อนไหวในใบสมัครงาน เช่น ศาสนาหรือหมู่เลือด โดยไม่เกี่ยวข้องกับตำแหน่งงาน
• เก็บเรซูเม่ผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ในฐานข้อมูลโดยไม่ขอความยินยอมและไม่มีกำหนดเวลา
• ส่งข้อมูลผู้สมัครทั้งหมดให้บริษัทตรวจสอบประวัติโดยไม่จำกัดเฉพาะข้อมูลที่จำเป็น
• ไม่เพิกถอนสิทธิ์การเข้าถึงระบบ HR ของพนักงานที่ลาออกไปแล้ว
• ให้พนักงานทุกคนในบริษัทเข้าถึงเรซูเม่และข้อมูลผู้สมัครทั้งหมดโดยไม่จำกัดสิทธิ์

สรุป

PDPA สำหรับ HR และ Recruitment ในบริบทขององค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง เริ่มต้นจากการเข้าใจว่าข้อมูลผู้สมัครถูกเก็บและส่งต่อที่จุดใดของกระบวนการสรรหา ตัดข้อมูลอ่อนไหวที่ไม่จำเป็นออกจากแบบฟอร์ม ขอความยินยอมแยกสำหรับการตรวจสอบประวัติ กำหนดระยะเวลาเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก และเพิกถอนสิทธิ์การเข้าถึงเมื่อพนักงานลาออก องค์กร ฝ่ายกฎหมาย Privacy Security และ Complianceที่วางระบบเหล่านี้ตั้งแต่ต้นจะดูแลข้อมูลผู้สมัครและพนักงานได้อย่างมั่นใจมากขึ้นและลดความเสี่ยงเมื่อมีคำถามเกิดขึ้น

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)