เช็กลิสต์ PDPA สำหรับ HR และ Recruitment สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

ก่อนเปิดใช้งานระบบ PDPA สำหรับ HR และ Recruitment ในคลินิกหรือโรงพยาบาล ต้องตรวจอย่างน้อย 4 เรื่อง คือ แบบขอความยินยอมสำหรับข้อมูลอ่อนไหวในใบสมัคร (ศาสนา ประวัติสุขภาพ ประวัติอาชญากรรม) กำหนดระยะเวลาการเก็บ CV ผู้สมัครที่ไม่ผ่านการคัดเลือก สิทธิ์การเข้าถึงข้อมูลพนักงานแบบ need-to-know และหลักฐานการตรวจสอบ background check ก่อนรับเข้าทำงานตำแหน่งที่ต้องดูแลผู้ป่วย รายการเหล่านี้ควรมีเอกสารหลักฐานรองรับ ไม่ใช่แค่นโยบายที่เขียนไว้เฉยๆ

หลายทีม HR ในคลินิกและโรงพยาบาลคิดว่างานที่ต้องระวังเรื่อง PDPA จริงจังคือฝั่งข้อมูลคนไข้เท่านั้น ส่วนข้อมูลของผู้สมัครงานหรือพนักงานเป็นเรื่องภายในองค์กร ไม่ต้องขอความยินยอมพิเศษอะไร เพราะ "ก็แค่รับสมัครงานเหมือนที่อื่น" ความเข้าใจนี้คลาดเคลื่อนตรงจุดสำคัญ ใบสมัครงานตำแหน่งพยาบาล ผู้ช่วยแพทย์ หรือเจ้าหน้าที่ที่ต้องสัมผัสผู้ป่วยโดยตรง มักมีข้อมูลที่ PDPA จัดเป็นข้อมูลอ่อนไหว เช่น ประวัติสุขภาพ ผลตรวจวัณโรคหรือวัคซีน ศาสนา หรือประวัติอาชญากรรมที่ใช้ประกอบการพิจารณาความเหมาะสมกับงาน ข้อมูลกลุ่มนี้ต้องผ่านความยินยอมแบบชัดแจ้ง ซึ่งเป็นมาตรฐานที่สูงกว่าฐานทางกฎหมายทั่วไปที่ใช้กับข้อมูลลูกค้าทั่วไป

ทำไมข้อมูล HR ของธุรกิจสุขภาพถึงมีความเสี่ยงสูงกว่าธุรกิจทั่วไป

ธุรกิจสุขภาพมีลักษณะเฉพาะที่ทำให้ข้อมูลฝั่ง HR ซับซ้อนกว่าออฟฟิศทั่วไป ตำแหน่งงานจำนวนมากต้องผ่านการตรวจสอบใบประกอบวิชาชีพ ประวัติสุขภาพ หรือแม้แต่ผลตรวจสารเสพติดก่อนเริ่มงาน เพราะเกี่ยวข้องโดยตรงกับความปลอดภัยของผู้ป่วย เอกสารเหล่านี้จึงเดินทางผ่านมือหลายฝ่าย ตั้งแต่ทีมสรรหา หัวหน้าแผนก ไปจนถึงฝ่ายกฎหมายหรือฝ่ายจัดซื้อที่ดูแลสัญญาจ้างเอาต์ซอร์ส หากไม่มีการกำหนดสิทธิ์การเข้าถึงชัดเจน ข้อมูลอ่อนไหวของผู้สมัครหรือพนักงานอาจกระจายไปยังคนที่ไม่มีความจำเป็นต้องรู้ ซึ่งเป็นความเสี่ยงที่ตรวจสอบย้อนหลังได้ยากถ้าไม่มีระบบบันทึกไว้ตั้งแต่ต้น

นอกจากนี้ ธุรกิจสุขภาพมักใช้เอเจนซี่จัดหางานภายนอกช่วยหาบุคลากรทางการแพทย์ที่ขาดแคลน หรือใช้บริษัทตรวจประวัติอาชญากรรมแยกต่างหากจากการจ้างงานทั่วไป ทำให้ข้อมูลของผู้สมัครคนหนึ่งอาจผ่านมือองค์กรภายนอกสองถึงสามแห่งก่อนถึงมือ HR จริง หากไม่มีข้อตกลงชัดเจนว่าแต่ละฝ่ายมีหน้าที่อะไรกับข้อมูลนั้น ก็ยากที่จะตอบได้ว่าใครควรรับผิดชอบหากข้อมูลรั่วไหลระหว่างทาง

เช็กลิสต์ก่อนเปิดใช้งานระบบ PDPA สำหรับ HR และ Recruitment

1. แบบขอความยินยอมสำหรับข้อมูลอ่อนไหวในใบสมัคร — ตรวจว่าฟอร์มสมัครงานมีข้อความแยกชัดเจนสำหรับการเก็บข้อมูลศาสนา ประวัติสุขภาพ หรือประวัติอาชญากรรม พร้อมช่องติ๊กยินยอมเฉพาะ ไม่ใช่รวมอยู่ในข้อความยินยอมทั่วไปบรรทัดเดียว
2. เอกสารระบุระยะเวลาเก็บ CV ผู้สมัครที่ไม่ผ่านการคัดเลือก — กำหนดตัวเลขวันหรือเดือนที่ชัดเจน เช่น 6 เดือนหรือ 1 ปี พร้อมขั้นตอนลบข้อมูลอัตโนมัติเมื่อครบกำหนด แทนที่จะเก็บไว้ "เผื่อมีตำแหน่งเปิดในอนาคต" โดยไม่มีกรอบเวลา
3. สิทธิ์การเข้าถึงข้อมูลพนักงานแบบ need-to-know — ตรวจสอบว่าใครบ้างที่เข้าถึงไฟล์ HR ได้ในระบบจริง และจำกัดเฉพาะผู้ที่ต้องใช้ข้อมูลนั้นในหน้าที่ เช่น หัวหน้าแผนกไม่ควรเห็นผลตรวจสุขภาพละเอียดของพนักงานแผนกอื่น
4. หลักฐานความยินยอมสำหรับ background check และการติดต่ออ้างอิง — เก็บบันทึกว่าผู้สมัครยินยอมให้ติดต่อนายจ้างเก่าหรือตรวจประวัติอาชญากรรมเมื่อใด ผ่านช่องทางไหน และผลตรวจถูกเก็บรักษาอย่างไรหลังใช้งานเสร็จ
5. แผนจัดการข้อมูลพนักงานที่ลาออกหรือถูกเลิกจ้าง — กำหนดว่าไฟล์ประวัติการทำงาน เงินเดือน และสวัสดิการของพนักงานที่พ้นสภาพจะถูกเก็บไว้นานเท่าใด ตามข้อกำหนดกฎหมายแรงงานหรือภาษี แล้วจึงลบหรือทำให้ไม่ระบุตัวตน
6. สัญญากับเอเจนซี่จัดหางานหรือผู้ให้บริการตรวจประวัติภายนอก — ตรวจว่ามีข้อตกลงเป็นลายลักษณ์อักษรระบุบทบาทของเอเจนซี่ในฐานะผู้ประมวลผลข้อมูล และมาตรการรักษาความปลอดภัยขั้นต่ำที่ต้องปฏิบัติตาม
7. ช่องทางแจ้งเหตุข้อมูลรั่วไหลของฝ่าย HR — ทดสอบว่าถ้าไฟล์ผู้สมัครหรือพนักงานหลุดออกไปโดยไม่ตั้งใจ ทีม HR รู้ว่าต้องแจ้งใครภายในองค์กรก่อน และมีขั้นตอนประเมินความรุนแรงเบื้องต้นหรือไม่

ตัวอย่างหลักฐานที่ควรเก็บไว้เป็น Evidence

การมีนโยบายเขียนไว้บนกระดาษไม่เพียงพอสำหรับการตรวจสอบภายหลัง สิ่งที่ควรเก็บคู่กันไปคือหลักฐานว่านโยบายถูกใช้งานจริง เช่น ภาพหน้าจอฟอร์มยินยอมข้อมูลอ่อนไหวที่ผู้สมัครกดยืนยัน บันทึกวันที่ลบ CV ผู้สมัครที่พ้นกำหนดเก็บ รายชื่อผู้มีสิทธิ์เข้าถึงระบบ HR พร้อมวันที่ทบทวนสิทธิ์ล่าสุด และสำเนาสัญญาประมวลผลข้อมูลกับเอเจนซี่จัดหางานที่ยังมีผลบังคับใช้ เอกสารกลุ่มนี้คือสิ่งที่ทำให้ทีมสามารถอธิบายกระบวนการทำงานจริงได้เมื่อถูกซักถาม แทนที่จะต้องตอบด้วยความจำ

ในทางปฏิบัติ ทีม HR ของคลินิกขนาดกลางมักมีเจ้าหน้าที่ดูแลเรื่องนี้เพียงหนึ่งหรือสองคน จึงควรจัดเก็บหลักฐานให้อยู่ในที่เดียวที่ค้นหาง่าย เช่น โฟลเดอร์กลางที่แยกตามปีและตำแหน่งงาน แทนที่จะกระจายอยู่ในอีเมลของแต่ละคน การตั้งชื่อไฟล์ให้สื่อความหมาย เช่น ระบุวันที่ยินยอมและวันที่ครบกำหนดลบ จะช่วยให้เมื่อถึงเวลาทบทวนประจำปีสามารถไล่ตรวจได้เร็วขึ้นมาก โรงพยาบาลขนาดใหญ่ที่มีตำแหน่งเปิดรับสมัครต่อเนื่องตลอดปีควรพิจารณาใช้ระบบติดตามอัตโนมัติที่แจ้งเตือนเมื่อ CV ใดถึงกำหนดลบ แทนการพึ่งพาความจำของเจ้าหน้าที่คนใดคนหนึ่ง เพราะเมื่อมีผู้สมัครหลายร้อยคนต่อเดือน การตรวจด้วยมือมีโอกาสตกหล่นสูง

อีกจุดที่มักถูกมองข้ามคือการเก็บหลักฐานฝั่งพนักงานปัจจุบัน ไม่ใช่แค่ผู้สมัคร เช่น บันทึกว่าใบรับรองแพทย์ประจำปีของพนักงานถูกส่งต่อให้ใครบ้าง หรือผลตรวจสุขภาพประจำปีถูกจัดเก็บแยกจากไฟล์เงินเดือนหรือไม่ เพราะสองชุดข้อมูลนี้มีระดับความอ่อนไหวต่างกันและไม่ควรอยู่ในโฟลเดอร์เดียวที่คนกลุ่มเดียวกันเข้าถึงได้ทั้งหมด

ข้อผิดพลาดที่พบบ่อยของทีม HR ในธุรกิจสุขภาพ

• รวมข้อความยินยอมข้อมูลอ่อนไหวไว้ในฟอร์มสมัครงานบรรทัดเดียวกับเงื่อนไขทั่วไป ทำให้แยกไม่ออกว่าผู้สมัครยินยอมส่วนไหนจริง
• เก็บ CV ของผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ในโฟลเดอร์ส่วนกลางแบบไม่มีกำหนดลบ เพราะกลัวว่าจะต้องใช้ในอนาคต
• ให้สิทธิ์เข้าถึงระบบ HR ทั้งฝ่ายแบบเดียวกันหมด ไม่แยกตามระดับความจำเป็นในการใช้ข้อมูล
• ไม่มีข้อตกลงเป็นลายลักษณ์อักษรกับเอเจนซี่จัดหางานภายนอกเรื่องการดูแลข้อมูลผู้สมัคร
• ลืมจัดการไฟล์ข้อมูลของพนักงานที่ลาออกไปแล้วหลายปี ปล่อยให้ค้างอยู่ในระบบโดยไม่มีใครทบทวน

ลำดับการตรวจที่แนะนำเมื่อทีมมีคนดูแลเพียงคนเดียว

คลินิกขนาดเล็กหลายแห่งมักมอบหมายให้เจ้าหน้าที่ HR เพียงคนเดียวดูแลทั้งการสรรหาและงานเอกสารพนักงาน การไล่ตรวจเช็กลิสต์ทั้งหมดพร้อมกันในวันเดียวจึงไม่สมจริง วิธีที่จัดการได้ง่ายกว่าคือแบ่งตรวจตามช่วงเวลาของกระบวนการจ้างงาน เริ่มจากฟอร์มสมัครงานและความยินยอมข้อมูลอ่อนไหวก่อนเปิดรับสมัครรอบใหม่แต่ละครั้ง ตามด้วยตรวจสิทธิ์การเข้าถึงระบบ HR ทุกครั้งที่มีการปรับโครงสร้างทีมหรือมีพนักงานใหม่เข้ามาดูแลงานบุคคล และปิดท้ายด้วยการไล่ดูไฟล์ผู้สมัครที่ค้างอยู่นานเกินกำหนดเก็บทุกไตรมาส การแบ่งเป็นรอบย่อยแบบนี้ทำให้แม้ทีมจะมีคนจำกัดก็ยังตามงานได้ทัน โดยไม่ต้องรอให้ถึงเวลาตรวจใหญ่ประจำปีแล้วพบว่ามีเรื่องค้างสะสมจำนวนมาก

สรุปก่อนเปิดใช้งานจริง

เช็กลิสต์ทั้งหมดนี้ไม่ได้ออกแบบมาให้ทำครั้งเดียวจบ แต่เป็นจุดตั้งต้นที่ทีม HR ของคลินิกหรือโรงพยาบาลควรตรวจซ้ำทุกครั้งที่มีการปรับกระบวนการรับสมัครงานหรือเปลี่ยนระบบจัดเก็บข้อมูล การแยกข้อมูลอ่อนไหวออกจากข้อมูลทั่วไปตั้งแต่ขั้นตอนแรก และกำหนดระยะเวลาการเก็บที่ชัดเจน คือรากฐานที่ทำให้ทีมสามารถตอบคำถามเรื่องการจัดการข้อมูลผู้สมัครและพนักงานได้อย่างมีหลักฐานรองรับ ไม่ใช่แค่คำอธิบายด้วยปาก ดูขั้นตอนการวางระบบแบบละเอียดเพิ่มเติมได้ที่ วิธีวางระบบ PDPA สำหรับ HR และ Recruitment สำหรับธุรกิจสุขภาพ และติดตามการเปลี่ยนแปลงล่าสุดได้ที่ อัปเดต PDPA สำหรับ HR และ Recruitment ปี 2026

แหล่งข้อมูลอ้างอิง

เช็กลิสต์นี้อ้างอิงแนวทางทั่วไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล และควรตรวจสอบรายละเอียดล่าสุดกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรงก่อนนำไปปรับใช้ในองค์กร เนื่องจากแนวปฏิบัติย่อยอาจมีการปรับปรุงเป็นระยะ ดูภาพรวมหัวข้ออื่นที่เกี่ยวข้องเพิ่มเติมได้ที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรม