วิธีวางระบบ PDPA สำหรับ HR และ Recruitment สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงแบบเป็นขั้นตอน

การวางระบบ PDPA สำหรับ HR ขององค์กรการเงินต้องเริ่มจากแยกประเภทข้อมูลผู้สมัครและพนักงานตามระดับความอ่อนไหว ตามด้วยปรับแบบฟอร์มขอความยินยอมให้แยกวัตถุประสงค์ กำหนดระยะเวลาเก็บและลบ CV ที่ไม่ผ่านการคัดเลือก จำกัดสิทธิ์การเข้าถึงตามหน้าที่ และทบทวนสัญญากับผู้ให้บริการตรวจสอบประวัติภายนอก ทำครบทั้งห้าขั้นแล้วจึงบันทึกเป็นเอกสารเพื่อใช้ตอบผู้ตรวจสอบ

ฝ่ายบุคคลขององค์กรการเงินจำนวนไม่น้อยเคยถามคำถามเดียวกันว่า จะเริ่มวางระบบ PDPA สำหรับงานสรรหาบุคลากรและดูแลข้อมูลพนักงานจากตรงไหนดี เพราะข้อมูลที่ต้องดูแลมีทั้งใบสมัครงาน ประวัติอาชญากรรมสำหรับตำแหน่งสายการเงิน ผลตรวจสุขภาพประกอบการพิจารณาบางตำแหน่ง และไฟล์พนักงานปัจจุบันที่สะสมมาหลายปี คำตอบสั้นๆ คือ ไม่ต้องทำทุกอย่างพร้อมกัน แต่ให้เริ่มจากการแยกประเภทข้อมูลก่อน แล้วค่อยไล่ทำทีละขั้นตามลำดับที่บทความนี้จะอธิบาย

ระบบที่วางไว้ดีตั้งแต่ต้นช่วยลดภาระงานของฝ่าย HR ในระยะยาวได้มาก เพราะแทนที่จะต้องตอบคำถามผู้ตรวจสอบทีละเรื่องแบบเฉพาะกิจ ทีมสามารถชี้ไปยังเอกสารและขั้นตอนที่มีอยู่แล้วได้ทันที บทความนี้แบ่งเป็นห้าขั้นตอนหลัก แต่ละขั้นออกแบบให้ทำต่อเนื่องจากขั้นก่อนหน้า องค์กรที่มีทรัพยากรจำกัดสามารถทำทีละขั้นตามลำดับความเร่งด่วน โดยเริ่มจากจุดที่มีข้อมูลอ่อนไหวมากที่สุดก่อน

ขั้นที่ 1: แยกประเภทข้อมูลผู้สมัครและพนักงาน

ก่อนแก้ไขแบบฟอร์มหรือระบบใดๆ ให้เริ่มจากทำรายการว่าฝ่าย HR ถืออะไรอยู่บ้าง แยกเป็นข้อมูลทั่วไป เช่น ชื่อ ที่อยู่ ประวัติการทำงาน กับข้อมูลอ่อนไหว เช่น ประวัติอาชญากรรม ข้อมูลสุขภาพ หรือศาสนาที่บางองค์กรขอเพื่อจัดวันหยุด การแยกประเภทนี้เป็นฐานของทุกขั้นตอนถัดไป องค์กรการเงินมักมีข้อมูลอ่อนไหวมากกว่าธุรกิจทั่วไปเพราะตำแหน่งสายการเงินต้องผ่านการตรวจสอบประวัติเข้มงวดกว่า

วิธีที่ทำได้จริงคือให้ทีม HR นั่งไล่รายการเอกสารที่ใช้ในกระบวนการสรรหาบุคลากรทั้งหมด ตั้งแต่ใบสมัคร แบบทดสอบ ผลสัมภาษณ์ ไปจนถึงเอกสารตรวจสอบประวัติ แล้วติดป้ายกำกับแต่ละรายการว่าเป็นข้อมูลทั่วไปหรือข้อมูลอ่อนไหว งานนี้ใช้เวลาไม่กี่ชั่วโมงต่อแผนก แต่ผลลัพธ์ที่ได้คือแผนที่ข้อมูล (data map) ที่ใช้อ้างอิงได้ต่อเนื่องในทุกขั้นตอนถัดไป ไม่ต้องเริ่มนับหนึ่งใหม่ทุกครั้งที่มีการทบทวน

ขั้นที่ 2: ปรับแบบฟอร์มขอความยินยอมให้แยกวัตถุประสงค์

เมื่อรู้แล้วว่าข้อมูลชุดไหนเป็นข้อมูลอ่อนไหว ขั้นถัดไปคือปรับแบบฟอร์มใบสมัครให้มีช่องขอความยินยอมแยกสำหรับข้อมูลกลุ่มนี้โดยเฉพาะ ไม่รวมกับความยินยอมทั่วไปตอนสมัครงาน ระบุวัตถุประสงค์ให้ชัดว่าจะใช้ข้อมูลนี้ตรวจสอบอะไร เช่น ตรวจสอบประวัติอาชญากรรมสำหรับตำแหน่งที่เกี่ยวข้องกับเงินโดยตรง และผู้สมัครควรเข้าใจได้ว่าปฏิเสธการให้ข้อมูลส่วนนี้แล้วจะมีผลอย่างไรต่อการพิจารณา

แบบฟอร์มที่ดีควรแยกเป็นสองส่วนอย่างชัดเจนในหน้าเดียวกัน ส่วนแรกคือความยินยอมสำหรับการประมวลผลข้อมูลทั่วไปเพื่อพิจารณาใบสมัคร ซึ่งเป็นเงื่อนไขจำเป็นของการสมัครงาน ส่วนที่สองคือความยินยอมสำหรับข้อมูลอ่อนไหว ซึ่งควรมีคำอธิบายเพิ่มเติมว่าใช้ตรวจสอบอะไร เก็บไว้นานเท่าไร และใครเข้าถึงได้บ้าง การแยกสองส่วนนี้ให้เห็นชัดในเอกสารเดียวกันช่วยลดความสับสนของผู้สมัครและยังเป็นหลักฐานที่ตรวจสอบง่ายในภายหลัง

ขั้นที่ 3: กำหนดระยะเวลาเก็บและลบ CV ที่ไม่ผ่านการคัดเลือก

คำถามที่พบบ่อยระหว่างวางระบบคือ ควรลบ CV ผู้ไม่ผ่านการคัดเลือกเมื่อไร คำแนะนำคือกำหนดระยะเวลาที่ชัดเจนไว้ในนโยบายภายในก่อน เช่น ลบเมื่อพ้นกำหนดที่ตกลงไว้ แล้วตั้งกฎในระบบ ATS ให้ลบอัตโนมัติตามวันที่ แทนที่จะรอให้เจ้าหน้าที่ลบมือทีละไฟล์ ข้อยกเว้นที่ต้องระวังคือกรณีมีข้อพิพาทแรงงานหรือการสอบสวนภายใน ซึ่งอาจต้องเก็บหลักฐานไว้นานกว่าปกติ ควรมีขั้นตอนแยกไว้ก่อนเปิดใช้การลบอัตโนมัติ

อีกจุดที่ควรทำคู่กันคือแจ้งผู้สมัครตั้งแต่ต้นว่าจะเก็บข้อมูลนานเท่าไรหากไม่ผ่านการคัดเลือก การแจ้งล่วงหน้าแบบนี้ไม่ได้เพิ่มภาระงานมาก แต่ช่วยให้ผู้สมัครไม่ต้องมาติดต่อสอบถามภายหลังว่าข้อมูลของตนยังอยู่ในระบบหรือไม่ และหากผู้สมัครต้องการให้ลบข้อมูลก่อนกำหนดที่ตั้งไว้ ก็ควรมีช่องทางให้ติดต่อได้ง่าย ไม่ใช่ต้องผ่านหลายขั้นตอนกว่าจะถึงคนที่ดูแลเรื่องนี้จริง

ขั้นที่ 4: จำกัดสิทธิ์การเข้าถึงข้อมูลตามหน้าที่

หลังจัดการข้อมูลและกำหนดระยะเวลาแล้ว ขั้นถัดไปคือทำ access matrix ระบุว่าตำแหน่งใดในฝ่าย HR เข้าถึงข้อมูลชุดใดได้บ้าง ทีมสรรหาบุคลากรทั่วไปควรเห็นเฉพาะข้อมูลพื้นฐานของผู้สมัคร ส่วนทีมที่รับผิดชอบตรวจสอบตำแหน่งสายการเงินหรือสายความเสี่ยงสูงจึงเข้าถึงข้อมูลอ่อนไหวได้ อย่าลืมตรวจสอบเอกสารกระดาษด้วย เพราะบางองค์กรจำกัดสิทธิ์ในระบบดิจิทัลเข้มงวด แต่ยังมีแฟ้มกระดาษวางอยู่ในลิ้นชักที่ใครก็เปิดดูได้

สำหรับองค์กรที่มีระบบ HR แบบรวมศูนย์หลายสาขา การกำหนดสิทธิ์ควรทำระดับบทบาท (role-based) ไม่ใช่กำหนดทีละบุคคล เพราะเมื่อมีการโยกย้ายตำแหน่งหรือพนักงานลาออก สิทธิ์การเข้าถึงจะเปลี่ยนตามบทบาทโดยอัตโนมัติ ลดความเสี่ยงที่คนที่ย้ายไปแผนกอื่นแล้วยังคงเข้าถึงข้อมูลเดิมได้อยู่ทั้งที่ไม่มีหน้าที่เกี่ยวข้องแล้ว

ขั้นที่ 5: ทบทวนสัญญากับผู้ให้บริการตรวจสอบประวัติภายนอก

องค์กรการเงินจำนวนมากจ้างบริษัทภายนอกตรวจสอบประวัติผู้สมัคร ขั้นตอนสุดท้ายของการวางระบบคือทบทวนสัญญากับผู้ให้บริการเหล่านี้ ให้ระบุชัดว่าเป็นผู้ประมวลผลข้อมูลแทนองค์กร ไม่ใช่เจ้าของข้อมูลอิสระ พร้อมเงื่อนไขการลบข้อมูลเมื่อจบภารกิจตรวจสอบ และช่องทางแจ้งเหตุหากเกิดปัญหาข้อมูลรั่วไหลระหว่างที่ข้อมูลอยู่กับผู้ให้บริการ

ก่อนเซ็นสัญญาใหม่หรือต่ออายุสัญญาเดิม ควรขอเอกสารยืนยันมาตรการรักษาความปลอดภัยของผู้ให้บริการด้วย เช่น วิธีจัดเก็บข้อมูล ระยะเวลาที่ผู้ให้บริการเก็บสำเนาผลตรวจสอบไว้ และขั้นตอนแจ้งเหตุกรณีข้อมูลรั่วไหล การมีเอกสารเหล่านี้ครบช่วยให้ทีม HR ตอบคำถามได้ทันทีเมื่อผู้ตรวจสอบถามว่าองค์กรกำกับดูแลผู้ให้บริการภายนอกอย่างไร แทนที่จะต้องไปติดต่อขอเอกสารเพิ่มเติมภายหลัง อีกจุดที่ควรตรวจคือรอบต่ออายุสัญญากับผู้ให้บริการเดิม เพราะบางองค์กรต่อสัญญาอัตโนมัติทุกปีโดยไม่ได้ทบทวนเงื่อนไขซ้ำเลย ทั้งที่มาตรฐานการรักษาความปลอดภัยของผู้ให้บริการอาจเปลี่ยนแปลงไปตามเวลา

บันทึกทุกขั้นตอนเป็นเอกสาร

เมื่อทำครบทั้งห้าขั้นแล้ว ให้รวบรวมเป็นเอกสารชุดเดียว ระบุวันที่ทบทวนล่าสุดของแต่ละขั้นตอน เอกสารนี้เองที่จะใช้ตอบผู้ตรวจสอบภายในหรือภายนอกเมื่อถูกถามว่าองค์กรจัดการข้อมูลผู้สมัครและพนักงานอย่างไร แนะนำให้ดู เช็กลิสต์สำหรับองค์กรการเงิน ประกอบเพื่อตรวจว่ามีข้อใดตกหล่นหรือไม่

เอกสารสรุปนี้ควรมีเจ้าของที่ชัดเจนหนึ่งคน ไม่ใช่กระจายความรับผิดชอบไปหลายคนโดยไม่มีใครเป็นเจ้าภาพจริง เจ้าของเอกสารมีหน้าที่ตั้งรอบทบทวนล่วงหน้า เช่น ทุก 6 เดือนสำหรับขั้นตอนที่เปลี่ยนแปลงบ่อยอย่างสิทธิ์การเข้าถึง และทุก 12 เดือนสำหรับส่วนที่ค่อนข้างคงที่อย่างสัญญากับผู้ให้บริการภายนอก การกำหนดรอบทบทวนไว้ล่วงหน้าแบบนี้ช่วยให้ระบบไม่หยุดนิ่งหลังวางเสร็จครั้งแรก

สิ่งที่มักเกิดขึ้นเมื่อองค์กรข้ามขั้นตอนใดขั้นตอนหนึ่ง

ในทางปฏิบัติ องค์กรจำนวนมากมักรีบไปทำขั้นที่ 4 เรื่องสิทธิ์การเข้าถึง โดยยังไม่ได้แยกประเภทข้อมูลให้ชัดในขั้นที่ 1 ผลที่ตามมาคือ access matrix ที่ทำออกมาไม่ครอบคลุมข้อมูลอ่อนไหวบางประเภทที่ยังไม่เคยถูกระบุไว้ตั้งแต่แรก ทำให้ต้องย้อนกลับไปแก้ทั้งสองขั้นตอนพร้อมกัน การทำตามลำดับที่แนะนำในบทความนี้จึงช่วยประหยัดเวลาในระยะยาวมากกว่าการกระโดดข้ามไปทำขั้นที่ดูเร่งด่วนก่อน

ข้อผิดพลาดที่พบบ่อยระหว่างวางระบบ

• เริ่มทำแบบฟอร์มขอความยินยอมก่อนแยกประเภทข้อมูล ทำให้ต้องแก้ไขซ้ำหลายรอบ
• ตั้งระบบลบ CV อัตโนมัติโดยลืมยกเว้นกรณีมีข้อพิพาทแรงงาน
• จำกัดสิทธิ์เฉพาะไฟล์ดิจิทัลแต่ลืมตรวจสอบเอกสารกระดาษ
• เซ็นสัญญากับผู้ให้บริการตรวจสอบประวัติโดยไม่ระบุเงื่อนไขการลบข้อมูล

สรุป

การวางระบบ PDPA สำหรับ HR และ Recruitment ขององค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง ทำได้เป็นขั้นตอนต่อเนื่องห้าขั้น ตั้งแต่แยกประเภทข้อมูล ปรับแบบฟอร์มขอความยินยอม กำหนดระยะเวลาเก็บและลบ จำกัดสิทธิ์การเข้าถึง ไปจนถึงทบทวนสัญญากับผู้ให้บริการภายนอก ดูภาพรวมหมวดหมู่เพิ่มเติมได้ที่ หน้ารวมความรู้ Business, Industry & SEO

แหล่งข้อมูลอ้างอิง

อ้างอิงแนวปฏิบัติจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลัก และทบทวนซ้ำเป็นระยะเพราะรายละเอียดเชิงปฏิบัติมีการปรับปรุงต่อเนื่อง ดูขั้นตอนตรวจสอบเชิงลึกเพิ่มเติมได้ที่ แนวทาง Audit สำหรับองค์กรการเงิน