วิธี Audit PDPA สำหรับ HR และ Recruitment ของอสังหาริมทรัพย์และธุรกิจที่เก็บ Lead พร้อม Evidence ที่ควรเก็บ

ฝ่ายบุคคลของโครงการคอนโดแห่งหนึ่งเปิดรับสมัครนายหน้าขายพร้อมกันสามสาขา ใบสมัครไหลเข้ามาทางอีเมล ไลน์ทีมขาย แบบฟอร์มบนเว็บไซต์ และเอเจนซี่จัดหางานภายนอก ผ่านไปสองเดือน ไม่มีใครในทีมตอบได้ว่าสำเนาบัตรประชาชนของผู้สมัครที่ไม่ผ่านการคัดเลือกถูกเก็บไว้ที่ไหน ใครเข้าถึงได้ และจะลบเมื่อไร นี่คือช่องว่างที่การ Audit PDPA สำหรับ HR และ Recruitment ต้องเข้าไปตรวจก่อนที่จะกลายเป็นปัญหาจริง

บทความนี้วางขั้นตอน Audit สำหรับทีม HR และ Recruitment ของธุรกิจอสังหาริมทรัพย์และธุรกิจที่เก็บ Lead โดยเฉพาะ พร้อมตัวอย่าง Evidence ที่ควรเก็บในแต่ละขั้น เพื่อให้ทีมเริ่มลงมือตรวจได้จริง ไม่ใช่แค่เข้าใจภาพรวม

ข้อมูลที่ HR และ Recruitment ของอสังหาฯ เก็บจริง

งาน Recruitment ของธุรกิจอสังหาริมทรัพย์มักเก็บข้อมูลมากกว่างาน HR ทั่วไป เพราะสายงานขายและนายหน้าต้องผ่านการตรวจสอบประวัติละเอียดกว่าตำแหน่งสำนักงาน สิ่งที่พบบ่อยได้แก่

• ใบสมัครงานพร้อมประวัติการทำงานและผลงานขาย
• สำเนาบัตรประชาชน ทะเบียนบ้าน และวุฒิการศึกษา
• ผลตรวจประวัติอาชญากรรมหรือประวัติทางการเงินสำหรับตำแหน่งที่ดูแลเงินดาวน์ลูกค้า
• ข้อมูลอ้างอิงจากนายจ้างเดิม
• บันทึกการสัมภาษณ์และผลประเมิน
• ข้อมูลจากแพลตฟอร์มจัดหางานหรือเอเจนซี่ภายนอกที่ส่งต่อผู้สมัครมาให้

ข้อมูลบางส่วน เช่น ผลตรวจประวัติอาชญากรรม จัดอยู่ในกลุ่มข้อมูลอ่อนไหวที่ต้องยกระดับความระมัดระวังและควรให้ฝ่ายกฎหมายหรือ DPO ตรวจสอบฐานการเก็บก่อนเริ่มใช้งานจริง

ขอบเขต PDPA ที่เกี่ยวข้องกับกระบวนการสรรหา

วงจรข้อมูลของผู้สมัครงานมีลักษณะเฉพาะที่ต่างจากข้อมูลลูกค้า เพราะเริ่มตั้งแต่ก่อนมีความสัมพันธ์ทางสัญญาใด ๆ กับองค์กร การ Audit จึงต้องไล่ตามวงจรทั้งหมด ไม่ใช่ดูแค่ตอนรับสมัคร

ช่วงเก็บและใช้ข้อมูล

ตรวจว่าผู้สมัครรับทราบวัตถุประสงค์การเก็บข้อมูลตั้งแต่จุดแรกที่กรอกใบสมัคร ไม่ว่าจะเป็นแบบฟอร์มกระดาษ อีเมล หรือฟอร์มออนไลน์ และตรวจว่าข้อมูลที่เก็บสอดคล้องกับตำแหน่งที่สมัครจริง เช่น ตำแหน่งธุรการไม่ควรถูกขอผลตรวจเครดิตบูโรโดยไม่มีเหตุผลรองรับ

ช่วงเก็บรักษาและทำลาย

ผู้สมัครที่ไม่ผ่านการคัดเลือกมักเป็นจุดที่องค์กรลืมกำหนดระยะเวลาเก็บ ทีม HR ควรมีนโยบายชัดเจนว่าจะเก็บนานเท่าไรหลังจบกระบวนการ และมีขั้นตอนทำลายเอกสารทั้งไฟล์กระดาษและไฟล์ดิจิทัลอย่างสม่ำเสมอ

ขั้นตอน Audit PDPA สำหรับ HR และ Recruitment ทีละขั้น

ขั้นตอนต่อไปนี้เขียนเรียงตามลำดับที่ทีม HR อสังหาฯ ทำได้จริงภายในหนึ่งรอบการตรวจ

ขั้นที่ 1 ทำ Data Inventory ของทุกช่องทางสรรหา

รวบรวมรายการช่องทางรับสมัครทั้งหมด เช่น เว็บไซต์บริษัท เอเจนซี่จัดหางาน แพลตฟอร์มหางานออนไลน์ ไลน์แอด และการแนะนำจากพนักงานเดิม แต่ละช่องทางอาจมีวิธีเก็บและส่งต่อข้อมูลต่างกัน ต้องบันทึกให้ครบก่อนไปขั้นถัดไป

ขั้นที่ 2 ตรวจ Legal Basis และข้อความแจ้งวัตถุประสงค์

ตรวจว่าแต่ละช่องทางมีข้อความแจ้งวัตถุประสงค์การเก็บข้อมูลหรือไม่ และข้อความนั้นตรงกับสิ่งที่ทีม HR ทำจริงหรือไม่ การเลือกฐานทางกฎหมายที่เหมาะสมสำหรับแต่ละกรณีควรให้ผู้เชี่ยวชาญด้านกฎหมายเป็นผู้ยืนยัน ทีม HR มีหน้าที่รวบรวมข้อเท็จจริงให้ครบเพื่อส่งต่อ

ขั้นที่ 3 ตรวจการเข้าถึงและการจัดเก็บไฟล์

ตรวจว่าใครในองค์กรเข้าถึงโฟลเดอร์เก็บใบสมัครได้บ้าง ไฟล์อยู่ในระบบที่มีการควบคุมสิทธิ์หรือแชร์ผ่านไดรฟ์ส่วนตัว และเอกสารกระดาษเก็บในตู้ที่ล็อกหรือวางเปิดโล่งบนโต๊ะทำงาน

ขั้นที่ 4 ตรวจผู้ให้บริการภายนอกที่เกี่ยวข้อง

เอเจนซี่จัดหางาน บริษัทตรวจประวัติ หรือแพลตฟอร์มหางาน ล้วนเป็นบุคคลที่สามที่รับข้อมูลผู้สมัครไปประมวลผลต่อ ต้องตรวจว่ามีข้อตกลงการประมวลผลข้อมูลกับผู้ให้บริการเหล่านี้หรือไม่ และข้อมูลถูกส่งข้ามพรมแดนหรือไม่

ขั้นที่ 5 ตรวจระยะเวลาเก็บและกระบวนการทำลาย

เทียบระยะเวลาเก็บจริงกับนโยบายที่กำหนดไว้ หากยังไม่มีนโยบาย ให้เริ่มจากการสำรวจว่าปัจจุบันเก็บเอกสารผู้สมัครที่ไม่ผ่านการคัดเลือกไว้นานเท่าไร แล้วนำไปหารือกับฝ่ายกฎหมายเพื่อกำหนดกรอบเวลาที่เหมาะสม

ตัวอย่าง Evidence ที่ควรเก็บระหว่าง Audit

Evidence ไม่ได้มีไว้เพื่อพิสูจน์ว่าองค์กร "ผ่าน" อะไรบางอย่าง แต่มีไว้เพื่อแสดงว่าองค์กรมีกระบวนการตรวจสอบและปรับปรุงอย่างต่อเนื่อง ตัวอย่างที่ควรเก็บมีดังนี้

รายการ	ตัวอย่างหลักฐาน
รายการช่องทางสรรหา	ตาราง Data Inventory พร้อมวันที่ปรับปรุงล่าสุด
ข้อความแจ้งวัตถุประสงค์	ภาพหน้าจอหรือไฟล์ข้อความที่ผู้สมัครเห็นจริงในแต่ละช่องทาง
สิทธิ์การเข้าถึงไฟล์	รายชื่อผู้มีสิทธิ์เข้าถึงโฟลเดอร์และวันที่ทบทวนสิทธิ์
สัญญากับผู้ให้บริการภายนอก	ข้อตกลงหรืออีเมลยืนยันเงื่อนไขการประมวลผลข้อมูล
การทำลายเอกสาร	บันทึกวันที่ทำลายและวิธีการ เช่น ย่อยกระดาษหรือลบไฟล์ถาวร

กรณีที่พบบ่อยระหว่างสรรหานายหน้าและพนักงานขาย

สายงานขายอสังหาริมทรัพย์มีจังหวะการสรรหาที่ไม่สม่ำเสมอ บางเดือนเปิดรับพร้อมกันหลายสิบอัตราเพราะเปิดโครงการใหม่ บางเดือนแทบไม่มีตำแหน่งว่าง จังหวะแบบนี้ทำให้กระบวนการ PDPA หลุดง่ายกว่าฝ่ายอื่น ตัวอย่างที่พบบ่อยมีดังนี้

แคมเปญรับสมัครเร่งด่วนก่อนเปิดโครงการ

เมื่อฝ่ายขายต้องการนายหน้าจำนวนมากในเวลาสั้น ทีม HR มักเปิดฟอร์มรับสมัครใหม่ผ่านโฆษณาโซเชียลโดยไม่ได้แจ้งทีมที่ดูแล Data Inventory ล่วงหน้า ผลคือมีช่องทางเก็บข้อมูลใหม่เกิดขึ้นโดยไม่มีใครตรวจสอบข้อความแจ้งวัตถุประสงค์หรือวิธีจัดเก็บ

การใช้เอเจนซี่หลายรายพร้อมกัน

โครงการขนาดใหญ่มักจ้างเอเจนซี่จัดหางานหลายรายพร้อมกันเพื่อให้ได้ผู้สมัครเร็วขึ้น แต่ละเอเจนซี่อาจส่งข้อมูลผู้สมัครผ่านช่องทางต่างกัน เช่น อีเมล ไฟล์ Excel หรือระบบของตัวเอง ทำให้ทีม HR ต้องตรวจสอบมาตรฐานความปลอดภัยของแต่ละเอเจนซี่แยกกัน ไม่สามารถใช้มาตรฐานเดียวกันได้ทั้งหมด

พนักงานขายที่ลาออกแล้วกลับมาสมัครใหม่

ธุรกิจนี้มีอัตราการเปลี่ยนงานสูง พนักงานขายบางคนลาออกแล้วกลับมาสมัครที่เดิมภายในไม่กี่เดือน ทีม HR ต้องตรวจว่าข้อมูลเดิมของพนักงานคนนั้นถูกจัดการอย่างไรหลังลาออก และเมื่อสมัครใหม่ควรเริ่มเก็บข้อมูลใหม่หรือดึงข้อมูลเก่ากลับมาใช้ ซึ่งเป็นจุดที่ควรมีนโยบายชัดเจนล่วงหน้า

บทบาทของทีมสรรหาบุคลากรและ Data Owner

โครงการอสังหาริมทรัพย์ส่วนใหญ่ไม่มีตำแหน่ง DPO เต็มเวลา งาน Audit จึงมักตกอยู่กับหัวหน้าทีม HR หรือผู้จัดการฝ่ายขายที่ดูแลการสรรหานายหน้า ควรกำหนดให้ชัดว่าใครเป็นเจ้าของข้อมูล (Data Owner) ของแต่ละช่องทาง ใครมีหน้าที่อัปเดต Data Inventory และใครเป็นผู้อนุมัติเมื่อมีช่องทางสรรหาใหม่เกิดขึ้น เช่น เปิดแคมเปญรับสมัครผ่านไลน์แอดสำหรับโครงการใหม่

ทีมขายที่เกี่ยวข้องกับ Lead ลูกค้าโดยตรงมักใช้เครื่องมือ เช่น ระบบจัดการความน่าเชื่อถือของเว็บไซต์และฟอร์ม Lead อยู่แล้ว การประสาน Audit ระหว่างทีม HR กับทีมที่ดูแลฟอร์มเว็บไซต์ช่วยให้เห็นภาพรวมข้อมูลบุคคลทั้งฝั่งผู้สมัครงานและฝั่งลูกค้าไปพร้อมกัน ควรนัดประชุมทบทวนร่วมกันอย่างน้อยปีละครั้ง เพื่อให้สองทีมรู้ว่าอีกฝ่ายเก็บข้อมูลอะไรเพิ่มหรือเปลี่ยนช่องทางใดไปแล้วบ้าง

ในทางปฏิบัติ ทีม HR ควรมีเอกสารบันทึกบทบาทสั้น ๆ ระบุชื่อผู้รับผิดชอบแต่ละช่องทาง วันที่ทบทวนล่าสุด และช่องทางติดต่อเมื่อพบปัญหา เอกสารนี้ไม่จำเป็นต้องซับซ้อน แต่ต้องมีคนตรวจสอบและปรับปรุงอย่างสม่ำเสมอ ไม่ใช่ทำครั้งเดียวแล้วไม่แตะอีก

คำถามที่พบบ่อย

ต้องเริ่ม Audit PDPA สำหรับ HR และ Recruitment จากจุดไหนก่อน เริ่มจากทำ Data Inventory ของทุกช่องทางสรรหาบุคลากร รวมเอเจนซี่ภายนอก เพื่อให้เห็นภาพรวมว่าข้อมูลผู้สมัครไหลเข้ามาจากไหนบ้างก่อนไล่ตรวจขั้นตอนถัดไป

ต้องเก็บสำเนาบัตรประชาชนของผู้สมัครที่ไม่ผ่านการคัดเลือกนานแค่ไหน ไม่มีตัวเลขตายตัวที่ใช้ได้กับทุกองค์กร ทีม HR ควรกำหนดนโยบายระยะเวลาเก็บร่วมกับฝ่ายกฎหมาย แล้วมีขั้นตอนทำลายเอกสารอย่างสม่ำเสมอเมื่อครบกำหนด

เอเจนซี่จัดหางานภายนอกต้องมีข้อตกลงเรื่องข้อมูลด้วยหรือไม่ ควรมี เพราะเอเจนซี่เป็นบุคคลที่สามที่รับข้อมูลผู้สมัครไปประมวลผลต่อ การ Audit ต้องตรวจว่ามีข้อตกลงหรือหลักฐานยืนยันวิธีเก็บและลบข้อมูลของเอเจนซี่แต่ละราย

Evidence ที่เก็บระหว่าง Audit ใช้พิสูจน์ว่าองค์กรถูกกฎหมายได้หรือไม่ Evidence ช่วยแสดงว่าองค์กรมีกระบวนการตรวจสอบและปรับปรุงต่อเนื่อง แต่ไม่ใช่การยืนยันทางกฎหมายว่าองค์กรปฏิบัติตามครบทุกข้อ กรณีซับซ้อนควรให้ผู้เชี่ยวชาญตรวจซ้ำ

เมื่อไรต้องส่งต่อผู้เชี่ยวชาญ

ทีม HR ควรหยุดตัดสินใจเองและส่งต่อฝ่ายกฎหมายหรือ DPO เมื่อพบกรณีต่อไปนี้ระหว่าง Audit

• พบข้อมูลอ่อนไหว เช่น ประวัติอาชญากรรมหรือข้อมูลสุขภาพ ที่ยังไม่มีฐานทางกฎหมายรองรับชัดเจน
• ข้อมูลผู้สมัครถูกส่งไปยังบริษัทในเครือต่างประเทศ
• เอเจนซี่จัดหางานภายนอกไม่สามารถยืนยันวิธีเก็บและลบข้อมูลได้
• มีข้อร้องเรียนจากผู้สมัครเกี่ยวกับการใช้ข้อมูลผิดวัตถุประสงค์

ดูแนวทางที่กว้างขึ้นได้ใน อัปเดต PDPA สำหรับ HR และ Recruitment ปี 2026 ซึ่งรวบรวมประเด็นที่ทีม HR อสังหาฯ ควรทบทวนซ้ำทุกรอบปี

เช็กลิสต์ปฏิบัติ

• ทำ Data Inventory ครบทุกช่องทางสรรหาบุคลากร รวมเอเจนซี่ภายนอก
• ตรวจข้อความแจ้งวัตถุประสงค์ในทุกช่องทางว่าตรงกับสิ่งที่เก็บจริง
• ทบทวนสิทธิ์การเข้าถึงไฟล์ผู้สมัครทั้งไฟล์ดิจิทัลและกระดาษ
• ตรวจสอบข้อตกลงกับผู้ให้บริการภายนอกที่ประมวลผลข้อมูลผู้สมัคร
• กำหนดระยะเวลาเก็บและวิธีทำลายเอกสารผู้สมัครที่ไม่ผ่านการคัดเลือก
• บันทึก Evidence ทุกขั้นตอนพร้อมวันที่ตรวจ
• ระบุ Data Owner ของแต่ละช่องทางสรรหาให้ชัดเจน

ข้อผิดพลาดที่พบบ่อย

• เก็บสำเนาบัตรประชาชนของผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ไม่มีกำหนด โดยไม่มีนโยบายทำลาย
• ให้เอเจนซี่จัดหางานส่งข้อมูลผู้สมัครผ่านไลน์ส่วนตัวโดยไม่มีข้อตกลงเรื่องการประมวลผลข้อมูล
• ไม่แจ้งวัตถุประสงค์การเก็บข้อมูลในแบบฟอร์มสมัครงานที่เป็นกระดาษ
• ให้พนักงานทุกคนเข้าถึงโฟลเดอร์ผู้สมัครได้โดยไม่จำกัดสิทธิ์ตามหน้าที่
• ขอผลตรวจประวัติทางการเงินสำหรับตำแหน่งที่ไม่เกี่ยวข้องกับการดูแลเงินลูกค้า

สรุป

การ Audit PDPA สำหรับ HR และ Recruitment ของธุรกิจอสังหาริมทรัพย์เริ่มจากการมองเห็นข้อมูลผู้สมัครทั้งวงจร ตั้งแต่ช่องทางรับสมัครไปจนถึงการทำลายเอกสาร การเก็บ Evidence ทุกขั้นตอนช่วยให้ทีมพร้อมตอบคำถามเมื่อถูกตรวจสอบ แต่ผลจากการ Audit ภายในทีมเองยังไม่เทียบเท่าความเห็นทางกฎหมาย กรณีที่มีความซับซ้อนหรือข้อมูลอ่อนไหวควรให้ผู้เชี่ยวชาญตรวจซ้ำก่อนสรุปผล

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)