PDPA สำหรับ HR และ Recruitment คืออะไร? คู่มือสำหรับธุรกิจ SaaS สตาร์ทอัพ และบริษัทเทคโนโลยี

PDPA สำหรับ HR และ Recruitment คืออะไร สำหรับธุรกิจ SaaS สตาร์ทอัพ และบริษัทเทคโนโลยี คือคำถามที่Product, Engineering, Growth และ Privacy Teamควรตอบให้ชัดเจนตั้งแต่ขั้นตอนเปิดรับสมัครงาน เพราะทุกใบสมัครที่เข้ามาล้วนมีข้อมูลส่วนบุคคลของผู้สมัคร ไม่ว่าจะเป็นเรซูเม่ผู้สมัครที่ระบุประวัติการทำงานในบริษัทคู่แข่ง ผลการทดสอบทักษะ (technical test) และบันทึกสัมภาษณ์จากทีม Engineering ข้อมูลเหล่านี้ถูกเก็บ ประมวลผล และบางส่วนถูกส่งต่อไปยังผู้ให้บริการภายนอกตลอดกระบวนการสรรหาบุคลากร ตั้งแต่วันที่เปิดรับสมัครจนถึงหลังประกาศผล

บทความนี้อธิบายภาพรวมของ PDPA สำหรับ HR และ Recruitment ในบริบทของธุรกิจ SaaS สตาร์ทอัพ และบริษัทเทคโนโลยี ครอบคลุมตั้งแต่จุดที่ต้องขอความยินยอมจากผู้สมัคร ข้อมูลอ่อนไหวในใบสมัครงานที่ต้องระวังเป็นพิเศษ การแชร์ข้อมูลกับบริษัทตรวจสอบประวัติ ระยะเวลาเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก ไปจนถึงการจัดการข้อมูลพนักงานที่ลาออกแล้ว โดยเน้นแนวทางเชิงปฏิบัติที่นำไปปรับใช้ได้จริง ไม่ใช่การตีความตัวบทกฎหมายโดยละเอียด

บทความนี้อธิบายแนวทางเชิงปฏิบัติสำหรับทีมสรรหาบุคลากรที่ให้บริการหรือทำงานร่วมกับกลุ่มธุรกิจ SaaS สตาร์ทอัพ และบริษัทเทคโนโลยีเท่านั้น ไม่ใช่คำแนะนำทางกฎหมายเฉพาะกรณี ควรปรึกษาที่ปรึกษากฎหมายของตนเองประกอบการตัดสินใจ

PDPA สำหรับ HR และ Recruitment คืออะไร และเกี่ยวข้องกับธุรกิจ SaaS สตาร์ทอัพ และบริษัทเทคโนโลยีอย่างไร

เมื่อพูดถึง PDPA สำหรับ HR และ Recruitment ในบริบทของธุรกิจ SaaS สตาร์ทอัพ และบริษัทเทคโนโลยี สิ่งที่ต้องเข้าใจก่อนคือกระบวนการสรรหาบุคลากรทุกขั้นตอน ตั้งแต่เปิดรับสมัคร คัดกรองเรซูเม่ นัดสัมภาษณ์ จนถึงตรวจสอบประวัติก่อนรับเข้าทำงาน ล้วนเป็นการเก็บและประมวลผลข้อมูลส่วนบุคคลของผู้สมัคร บริษัทจึงมีสถานะเป็นผู้ควบคุมข้อมูล (Data Controller) ของข้อมูลผู้สมัครงานทุกคนที่ส่งใบสมัครเข้ามา ไม่ว่าจะได้รับการคัดเลือกหรือไม่ก็ตาม

สำหรับProduct, Engineering, Growth และ Privacy Team ประเด็นที่ควรให้ความสำคัญเป็นอันดับแรกคือการรู้ว่าข้อมูลผู้สมัครแต่ละประเภทถูกเก็บไว้ที่ใด ใครเข้าถึงได้บ้าง และส่งต่อไปยังระบบหรือผู้ให้บริการภายนอกรายใดบ้าง เพราะทีม Growth ที่เติบโตเร็วมักใช้ระบบ ATS (Applicant Tracking System) และเครื่องมือทดสอบทักษะจากผู้ให้บริการภายนอกหลายเจ้าพร้อมกัน ทำให้ข้อมูลผู้สมัครกระจายอยู่ในหลายระบบ หากไม่มีภาพรวมที่ชัดเจน อาจตอบคำถามผู้สมัครหรือหน่วยงานที่เกี่ยวข้องไม่ได้เมื่อถูกสอบถาม

บริษัทต้องขอความยินยอมจากผู้สมัครงานตอนไหนบ้าง

บริษัทต้องขอความยินยอมจากผู้สมัครงานตอนไหนบ้าง เป็นคำถามที่พบบ่อยที่สุดสำหรับProduct, Engineering, Growth และ Privacy Team ในทางปฏิบัติ การเก็บข้อมูลพื้นฐานเพื่อพิจารณาคัดเลือกตามตำแหน่งที่สมัคร เช่น เรซูเม่และประวัติการทำงาน มักอาศัยฐานความจำเป็นเพื่อดำเนินการตามคำขอก่อนทำสัญญาจ้างงาน ไม่จำเป็นต้องขอความยินยอมแยกต่างหาก แต่การเก็บข้อมูลเพิ่มเติมนอกเหนือจากที่จำเป็น เช่น การตรวจสอบประวัติอาชญากรรม การตรวจสุขภาพ หรือการเก็บเรซูเม่ไว้พิจารณาตำแหน่งอื่นในอนาคต จำเป็นต้องขอความยินยอมแยกต่างหากอย่างชัดเจน

สำหรับธุรกิจ SaaS สตาร์ทอัพ และบริษัทเทคโนโลยี จุดที่มักลืมขอความยินยอมคือการเก็บเรซูเม่ของผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ในฐานข้อมูลเพื่อพิจารณาตำแหน่งอื่นในอนาคต ซึ่งต้องแจ้งวัตถุประสงค์นี้และขอความยินยอมจากผู้สมัครแยกต่างหาก ไม่ใช่เก็บไว้โดยอัตโนมัติเพราะคิดว่าเป็นประโยชน์ต่อผู้สมัครเอง

ข้อมูลอ่อนไหว (Sensitive Data) ในใบสมัครงาน ต้องระวังอะไรบ้าง

ข้อมูลอ่อนไหว (Sensitive Data) ในใบสมัครงาน ต้องระวังอะไรบ้าง เป็นอีกประเด็นที่ธุรกิจ SaaS สตาร์ทอัพ และบริษัทเทคโนโลยีต้องดูแลเป็นพิเศษ เพราะแบบฟอร์มใบสมัครงานหลายแห่งยังมีช่องกรอกข้อมูลที่เข้าข่ายข้อมูลอ่อนไหวโดยไม่จำเป็น เช่น ศาสนา หมู่เลือด หรือประวัติสุขภาพทั่วไปที่ไม่เกี่ยวข้องกับตำแหน่งงาน

แนวทางที่ทำได้จริงคือทบทวนแบบฟอร์มใบสมัครงานที่ใช้อยู่ ตัดช่องกรอกข้อมูลที่ไม่เกี่ยวข้องกับการพิจารณาคัดเลือกออก และสำหรับข้อมูลอ่อนไหวที่จำเป็นต่อตำแหน่งจริง เช่นเรซูเม่ผู้สมัครที่ระบุประวัติการทำงานในบริษัทคู่แข่ง ผลการทดสอบทักษะ (technical test) และบันทึกสัมภาษณ์จากทีม Engineering ควรระบุวัตถุประสงค์การเก็บให้ชัดเจนและขอความยินยอมแยกจากการสมัครงานทั่วไป

ขั้นตอนวางระบบดูแลข้อมูลผู้สมัครสำหรับธุรกิจ SaaS สตาร์ทอัพ และบริษัทเทคโนโลยี

การนำแนวทาง PDPA ไปใช้จริงกับกระบวนการสรรหาบุคลากรไม่จำเป็นต้องปรับระบบทั้งหมด แต่ควรมีขั้นตอนพื้นฐานที่ทำเป็นประจำดังนี้

1. ทบทวนแบบฟอร์มใบสมัครงานทุกตำแหน่ง ตัดช่องกรอกข้อมูลอ่อนไหวที่ไม่จำเป็นออก
2. แจ้งวัตถุประสงค์การเก็บข้อมูลผู้สมัครไว้ในหน้าใบสมัครงานหรือประกาศรับสมัครให้ชัดเจน
3. ขอความยินยอมแยกต่างหากสำหรับการตรวจสอบประวัติ การเก็บเรซูเม่ไว้พิจารณาตำแหน่งอื่นในอนาคต หรือการส่งข้อมูลให้บุคคลที่สาม
4. จำกัดสิทธิ์การเข้าถึงข้อมูลผู้สมัครเฉพาะทีม HR และผู้สัมภาษณ์ที่เกี่ยวข้องกับตำแหน่งนั้นจริง
5. ตรวจสอบสัญญาหรือข้อตกลงกับระบบ ATS (Applicant Tracking System), เครื่องมือทดสอบทักษะออนไลน์ และปฏิทินนัดสัมภาษณ์ที่เชื่อมกับอีเมลทีมว่าระบุขอบเขตการใช้ข้อมูลผู้สมัครไว้ชัดเจน
6. กำหนดระยะเวลาเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก และลบข้อมูลเมื่อพ้นระยะเวลาที่กำหนด

การแชร์ข้อมูลผู้สมัครกับบริษัทตรวจสอบประวัติ (Background Check) ต้องเปิดเผยอย่างไร

การแชร์ข้อมูลผู้สมัครกับบริษัทตรวจสอบประวัติ (Background Check) ต้องเปิดเผยอย่างไร เป็นคำถามที่ธุรกิจ SaaS สตาร์ทอัพ และบริษัทเทคโนโลยีควรตอบให้ชัดก่อนส่งข้อมูลผู้สมัครออกนอกองค์กร เพราะการตรวจสอบประวัติมักต้องส่งข้อมูล เช่นเรซูเม่ผู้สมัครที่ระบุประวัติการทำงานในบริษัทคู่แข่ง ผลการทดสอบทักษะ (technical test) และบันทึกสัมภาษณ์จากทีม Engineering ไปยังระบบ ATS (Applicant Tracking System), เครื่องมือทดสอบทักษะออนไลน์ และปฏิทินนัดสัมภาษณ์ที่เชื่อมกับอีเมลทีมเพื่อดำเนินการตรวจสอบ

แนวทางปฏิบัติที่ดีคือแจ้งผู้สมัครล่วงหน้าว่าจะมีการตรวจสอบประวัติในขั้นตอนใด ขอความยินยอมจากผู้สมัครก่อนส่งข้อมูลออกไปจริง และทำสัญญาหรือข้อตกลงกับบริษัทตรวจสอบประวัติให้ครอบคลุมการใช้ข้อมูลเฉพาะเพื่อวัตถุประสงค์การตรวจสอบที่ตกลงกันเท่านั้น ไม่นำไปใช้เพื่อวัตถุประสงค์อื่น

อย่าส่งข้อมูลผู้สมัครทั้งหมดในเรซูเม่ให้บริษัทตรวจสอบประวัติโดยไม่จำเป็น เช่น ส่งข้อมูลติดต่อครอบครัวทั้งที่บริษัทตรวจสอบต้องการเพียงข้อมูลเพื่อยืนยันตัวตนและประวัติที่เกี่ยวข้องกับตำแหน่งงานเท่านั้น เพราะขัดกับหลักการเก็บและส่งต่อข้อมูลเท่าที่จำเป็น

ผู้สมัครที่ไม่ผ่านการคัดเลือก ข้อมูลจะถูกเก็บไว้นานแค่ไหน

ผู้สมัครที่ไม่ผ่านการคัดเลือก ข้อมูลจะถูกเก็บไว้นานแค่ไหน คือคำถามที่Product, Engineering, Growth และ Privacy Teamควรกำหนดคำตอบไว้ล่วงหน้าเป็นนโยบายภายใน ไม่ใช่ปล่อยให้เรซูเม่ของผู้สมัครที่ไม่ผ่านการคัดเลือกค้างอยู่ในระบบหรืออีเมลโดยไม่มีกำหนด แนวทางปฏิบัติที่ดีคือกำหนดระยะเวลาเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ชัดเจน เช่น เก็บไว้ระยะหนึ่งเผื่อมีตำแหน่งใกล้เคียงเปิดรับในอนาคต แล้วลบหรือทำให้ไม่ระบุตัวตนเมื่อพ้นระยะเวลาที่กำหนด

หากต้องการเก็บเรซูเม่ผู้สมัครไว้นานกว่าระยะเวลาปกติเพื่อพิจารณาตำแหน่งอื่นในอนาคต ควรแจ้งและขอความยินยอมจากผู้สมัครแยกต่างหากตามที่กล่าวไว้ในหัวข้อก่อนหน้า และควรมีช่องทางให้ผู้สมัครขอให้ลบข้อมูลของตนเองได้ทุกเมื่อหากไม่ต้องการให้เก็บไว้ต่อ

การตรวจสอบและเก็บหลักฐาน (Audit และ Evidence) สำหรับธุรกิจ SaaS สตาร์ทอัพ และบริษัทเทคโนโลยี

เมื่อผู้สมัครหรือหน่วยงานที่เกี่ยวข้องตั้งคำถามเกี่ยวกับการจัดการข้อมูลใบสมัครงาน ทีม HR ควรมีหลักฐานพร้อมสนับสนุนได้เสมอ แนวทางตรวจสอบที่ควรทำเป็นประจำ ได้แก่ การทบทวนว่าแบบฟอร์มใบสมัครงานยังมีช่องกรอกข้อมูลอ่อนไหวที่ไม่จำเป็นหลงเหลืออยู่หรือไม่ การตรวจสอบว่าสัญญากับบริษัทตรวจสอบประวัติยังเป็นฉบับล่าสุดและครอบคลุมขอบเขตที่ใช้งานจริง และการเก็บบันทึกว่ามีการลบข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกตามกำหนดเวลาหรือไม่

หลักฐานที่มีประโยชน์ที่สุดเมื่อถูกร้องขอ คือเอกสารที่แสดงว่าทีม HR เก็บและส่งต่อข้อมูลผู้สมัครตามขอบเขตที่แจ้งไว้จริง พร้อมบันทึกเวลาที่ปรับปรุงแบบฟอร์มหรือเปลี่ยนแปลงผู้ให้บริการตรวจสอบประวัติ การจัดเก็บหลักฐานอย่างเป็นระบบช่วยให้ตอบคำถามได้รวดเร็วโดยไม่ต้องรื้อค้นย้อนหลังทุกครั้ง

พนักงานที่ลาออกแล้ว ข้อมูลในระบบ HR ต้องจัดการอย่างไร

พนักงานที่ลาออกแล้ว ข้อมูลในระบบ HR ต้องจัดการอย่างไร เป็นคำถามที่Product, Engineering, Growth และ Privacy Teamมักมองข้ามหลังกระบวนการสรรหาจบลง แนวทางปฏิบัติที่ดีคือแยกการจัดการข้อมูลเป็นสองส่วน คือข้อมูลที่ต้องเก็บไว้ตามกฎหมายแรงงานหรือกฎหมายภาษี เช่น ประวัติการจ้างงานและเอกสารเงินเดือน ซึ่งมีระยะเวลาเก็บที่กำหนดไว้ชัดเจน กับข้อมูลอื่นที่ไม่จำเป็นต้องเก็บต่อ เช่น บันทึกการประเมินผลรายวันหรือข้อมูลติดต่อส่วนตัวที่ไม่เกี่ยวข้องกับการจ่ายเงินเดือนหรือการอ้างอิงในอนาคต

ด้านความปลอดภัย ธุรกิจ SaaS สตาร์ทอัพ และบริษัทเทคโนโลยีควรเพิกถอนสิทธิ์การเข้าถึงระบบ HR และระบบ ATS (Applicant Tracking System), เครื่องมือทดสอบทักษะออนไลน์ และปฏิทินนัดสัมภาษณ์ที่เชื่อมกับอีเมลทีมของพนักงานที่ลาออกทันทีที่พ้นสภาพ และจำกัดสิทธิ์เข้าถึงประวัติพนักงานเก่าเฉพาะทีม HR ที่จำเป็นต้องใช้เพื่อออกเอกสารรับรองหรือตอบคำถามจากหน่วยงานที่เกี่ยวข้องเท่านั้น

ในทางปฏิบัติ ทีม HR ส่วนใหญ่ไม่จำเป็นต้องสร้างระบบตรวจสอบขึ้นใหม่ทั้งหมด แต่ควรผนวกขั้นตอนเหล่านี้เข้ากับระบบ ATS (Applicant Tracking System), เครื่องมือทดสอบทักษะออนไลน์ และปฏิทินนัดสัมภาษณ์ที่เชื่อมกับอีเมลทีมที่ใช้งานอยู่แล้ว เพื่อให้การดูแลข้อมูลเป็นส่วนหนึ่งของกระบวนการทำงานปกติ สำหรับภาพรวมแนวทาง PDPA ที่แยกตามกลุ่มธุรกิจ ดูหมวดรวมได้ที่ คลังความรู้ Business & Industry SEO และหากสนใจกลุ่มองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง ดูแนวทางเฉพาะได้ที่ PDPA สำหรับ HR และ Recruitment สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง ส่วนกลุ่มคลินิก โรงพยาบาล และธุรกิจสุขภาพ ดูได้ที่ PDPA สำหรับ HR และ Recruitment สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

ถ้าต้องการเริ่มต้นตรวจสอบเว็บไซต์ของคุณเบื้องต้นแบบไม่มีค่าใช้จ่าย สามารถลองใช้ เครื่องมือตรวจสอบเว็บไซต์ฟรีของ trusty เพื่อดูจุดที่ควรปรับปรุงก่อนได้

เช็กลิสต์ปฏิบัติ

• ทบทวนแบบฟอร์มใบสมัครงาน ตัดช่องกรอกข้อมูลอ่อนไหวที่ไม่จำเป็นออก
• แจ้งวัตถุประสงค์การเก็บข้อมูลผู้สมัครไว้ในประกาศรับสมัครงาน
• ขอความยินยอมแยกต่างหากสำหรับการตรวจสอบประวัติและการเก็บเรซูเม่ไว้ใช้ในอนาคต
• จำกัดสิทธิ์การเข้าถึงข้อมูลผู้สมัครเฉพาะทีม HR และผู้สัมภาษณ์ที่เกี่ยวข้อง
• กำหนดระยะเวลาเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกและลบเมื่อครบกำหนด
• เพิกถอนสิทธิ์การเข้าถึงระบบ HR ของพนักงานที่ลาออกทันทีที่พ้นสภาพ

ข้อผิดพลาดที่พบบ่อย

• เก็บข้อมูลอ่อนไหวในใบสมัครงาน เช่น ศาสนาหรือหมู่เลือด โดยไม่เกี่ยวข้องกับตำแหน่งงาน
• เก็บเรซูเม่ผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ในฐานข้อมูลโดยไม่ขอความยินยอมและไม่มีกำหนดเวลา
• ส่งข้อมูลผู้สมัครทั้งหมดให้บริษัทตรวจสอบประวัติโดยไม่จำกัดเฉพาะข้อมูลที่จำเป็น
• ไม่เพิกถอนสิทธิ์การเข้าถึงระบบ HR ของพนักงานที่ลาออกไปแล้ว
• ให้พนักงานทุกคนในบริษัทเข้าถึงเรซูเม่และข้อมูลผู้สมัครทั้งหมดโดยไม่จำกัดสิทธิ์

สรุป

PDPA สำหรับ HR และ Recruitment ในบริบทของธุรกิจ SaaS สตาร์ทอัพ และบริษัทเทคโนโลยี เริ่มต้นจากการเข้าใจว่าข้อมูลผู้สมัครถูกเก็บและส่งต่อที่จุดใดของกระบวนการสรรหา ตัดข้อมูลอ่อนไหวที่ไม่จำเป็นออกจากแบบฟอร์ม ขอความยินยอมแยกสำหรับการตรวจสอบประวัติ กำหนดระยะเวลาเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก และเพิกถอนสิทธิ์การเข้าถึงเมื่อพนักงานลาออก Product, Engineering, Growth และ Privacy Teamที่วางระบบเหล่านี้ตั้งแต่ต้นจะดูแลข้อมูลผู้สมัครและพนักงานได้อย่างมั่นใจมากขึ้นและลดความเสี่ยงเมื่อมีคำถามเกิดขึ้น

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)