วิธีวางระบบ PDPA สำหรับ HR และ Recruitment สำหรับธุรกิจ SaaS สตาร์ทอัพ และบริษัทเทคโนโลยีแบบเป็นขั้นตอน

การวางระบบ PDPA สำหรับ HR และ Recruitment ของ SaaS สตาร์ทอัพเริ่มจากทำบัญชีข้อมูลผู้สมัครทุกช่องทาง แยกฐานทางกฎหมายของข้อมูลทั่วไปกับข้อมูลอ่อนไหว เช่น ศาสนา สุขภาพ หรือประวัติอาชญากรรม ที่ต้องขอความยินยอมแยกอย่างชัดเจน กำหนดรอบเก็บและลบ CV ของผู้สมัครที่ไม่ผ่านการคัดเลือก จำกัดสิทธิ์เข้าถึงข้อมูล HR แบบ need-to-know และตรวจสัญญากับผู้ให้บริการ ATS หรือบริการตรวจประวัติภายนอกว่าระบุขอบเขตการใช้ข้อมูลไว้ชัดเจน

ทีม HR ของสตาร์ทอัพ SaaS จำนวนไม่น้อยเชื่อว่า PDPA เป็นเรื่องของแผนกที่ดูแลข้อมูลลูกค้าที่จ่ายเงินซื้อ subscription เท่านั้น ส่วนข้อมูลผู้สมัครงานหรือพนักงานถือเป็น "เรื่องภายใน" ที่ผ่อนปรนได้ ความเข้าใจนี้กลับด้านกับความจริง เพราะ CV ที่ส่งเข้ามาสมัครตำแหน่ง Engineer หรือ Growth มักมีข้อมูลศาสนา ประวัติสุขภาพ หรือแม้แต่ประวัติอาชญากรรมปนอยู่ในเอกสารแนบ ซึ่งกฎหมายจัดเป็นข้อมูลอ่อนไหวที่ต้องขอความยินยอมแบบชัดแจ้ง สูงกว่ามาตรฐานที่ใช้กับข้อมูลลูกค้าทั่วไปเสียอีก บทความนี้เดินขั้นตอนวางระบบ PDPA ฝั่ง HR และ Recruitment แบบที่ทีมขนาดเล็กในบริษัทเทคโนโลยีทำได้จริงโดยไม่ต้องมีแผนกกฎหมายแยกต่างหาก

ทำไมข้อมูลผู้สมัครงานใน SaaS เสี่ยงกว่าที่ทีมคิด

ทีม Product และ Engineering ของ SaaS มักคุ้นเคยกับการดูแลข้อมูลผู้ใช้งานผ่านระบบที่มีมาตรฐานความปลอดภัยระดับหนึ่งอยู่แล้ว แต่กระบวนการรับสมัครงานกลับกระจัดกระจายอยู่ในหลายช่องทาง ตั้งแต่ระบบ ATS ที่บริษัทซื้อมาใช้ อีเมลที่ผู้สมัครส่ง CV ตรงถึงหัวหน้าทีม ไปจนถึง Google Form ที่ฝ่าย Growth สร้างขึ้นเองสำหรับตำแหน่งเร่งด่วน แต่ละช่องทางมีเจ้าของข้อมูลต่างคนกัน และแทบไม่มีใครตรวจว่าไฟล์ CV ที่แนบมามีข้อมูลศาสนา หมู่เลือด ประวัติการรักษาโรค หรือประวัติอาชญากรรมติดมาด้วยหรือไม่ ข้อมูลกลุ่มนี้ PDPA จัดเป็นข้อมูลอ่อนไหวที่ต้องมีฐานทางกฎหมายที่เข้มกว่าปกติ โดยเฉพาะการขอความยินยอมแบบชัดแจ้งจากเจ้าของข้อมูล ไม่ใช่แค่การอ้างว่าจำเป็นต่อการพิจารณาคัดเลือก อีกจุดที่ทีมสตาร์ทอัพมักมองข้ามคือช่วงเวลาสัมภาษณ์ ที่ผู้สัมภาษณ์มักจดบันทึกอิสระเก็บไว้ในโน้ตส่วนตัว บาง note มีคำถามเกี่ยวกับสถานะครอบครัวหรือแผนการมีบุตรของผู้สมัคร ซึ่งไม่เกี่ยวข้องกับความสามารถในการทำงานเลยแต่ยังถูกจดบันทึกและส่งต่อกันในทีมโดยไม่มีใครตั้งคำถามว่าควรเก็บไว้หรือไม่

การขอ reference check และการตรวจประวัติ: จุดที่ต้องระวังเป็นพิเศษ

เมื่อผู้สมัครเข้าสู่รอบท้ายของการคัดเลือก ทีม HR มักติดต่อ reference check ไปยังนายจ้างเก่าหรือใช้บริการตรวจประวัติอาชญากรรมจากหน่วยงานภายนอกสำหรับตำแหน่งที่เกี่ยวข้องกับการเงินหรือข้อมูลลูกค้า ขั้นตอนนี้มีความละเอียดอ่อนสองชั้น ชั้นแรกคือต้องได้รับความยินยอมจากผู้สมัครก่อนติดต่อบุคคลที่สามเสมอ ไม่ใช่ติดต่อไปก่อนแล้วค่อยแจ้งภายหลัง ชั้นที่สองคือผลตรวจประวัติที่ได้กลับมาต้องถูกจำกัดการเข้าถึงเฉพาะผู้มีอำนาจตัดสินใจจ้างจริง ไม่ใช่ส่งต่อในกลุ่มแชททีมเพื่อ "อัปเดตให้ทุกคนรู้" เพราะข้อมูลประวัติอาชญากรรมถือเป็นข้อมูลอ่อนไหวที่ต้องปิดบัญชีการเข้าถึงให้แคบที่สุดเท่าที่จำเป็นจริง หากผู้สมัครไม่ผ่านการคัดเลือกด้วยเหตุผลจากผลตรวจประวัติ ควรลบผลตรวจนั้นทันทีหลังการตัดสินใจเสร็จสิ้น ไม่ใช่เก็บค้างไว้ในระบบต่อ

ขั้นตอนวางระบบ PDPA สำหรับ HR และ Recruitment ทีละขั้น

1. ทำบัญชีข้อมูลผู้สมัครทุกช่องทางที่ใช้อยู่จริง — ไล่ดูว่าทีมรับสมัครผ่านช่องทางไหนบ้าง ATS อีเมลตรง LinkedIn Google Form หรือเอเจนซีจัดหางาน แต่ละช่องทางเก็บอะไรบ้าง เพราะสิ่งที่ตรวจไม่ได้คือสิ่งที่ควบคุมไม่ได้ หลักฐานที่ควรเก็บคือรายชื่อช่องทางพร้อมประเภทข้อมูลที่แต่ละช่องทางรับเข้ามา
2. แยกข้อมูลทั่วไปออกจากข้อมูลอ่อนไหวในทุกไฟล์ CV — กำหนดให้ผู้คัดกรองเรซูเม่ตรวจทุกครั้งว่าเอกสารมีข้อมูลศาสนา สุขภาพ หรือประวัติอาชญากรรมติดมาหรือไม่ หากไม่จำเป็นต่อการพิจารณาตำแหน่งนั้นจริง ควรลบหรือปกปิดส่วนนั้นก่อนส่งต่อให้ผู้สัมภาษณ์ หลักฐานที่ควรเก็บคือแนวปฏิบัติที่เป็นลายลักษณ์อักษรให้ทีมคัดกรองยึดถือ
3. ออกแบบฟอร์มสมัครงานให้ขอความยินยอมแยกสำหรับข้อมูลอ่อนไหว — หากตำแหน่งบางประเภทจำเป็นต้องถามข้อมูลสุขภาพ เช่น งานที่ต้องใช้แรงกายมาก ควรมีช่องยินยอมแยกต่างหากจากการยินยอมให้ประมวลผลข้อมูลทั่วไป ไม่ใช่รวมไว้ในข้อความเดียวกันแบบเหมารวม หลักฐานที่ควรเก็บคือ log วันเวลาที่ผู้สมัครกดยินยอมแต่ละรายการ
4. กำหนดรอบเก็บและลบ CV ของผู้สมัครที่ไม่ผ่านการคัดเลือก — ทีม Growth ที่รับสมัครบ่อยมักเก็บ CV เก่าไว้ "เผื่อมีตำแหน่งเปิดใหม่" โดยไม่มีกำหนดเวลา ซึ่งขัดกับหลักการเก็บข้อมูลเท่าที่จำเป็นและมีระยะเวลาที่ชัดเจน ควรกำหนดรอบลบที่สมเหตุสมผล เช่นภายในหนึ่งปีหลังปิดตำแหน่ง เว้นแต่ผู้สมัครยินยอมให้เก็บต่อสำหรับตำแหน่งในอนาคตโดยเฉพาะ หลักฐานที่ควรเก็บคือ policy เอกสารพร้อมวันที่เริ่มบังคับใช้
5. จำกัดสิทธิ์เข้าถึงข้อมูล HR แบบ need-to-know — ไม่ใช่ทุกคนในทีม Product หรือ Engineering ต้องเห็นไฟล์ CV ทั้งหมด ควรกำหนดว่าใครเห็นข้อมูลระดับไหน เช่น หัวหน้าทีมที่สัมภาษณ์เห็นเฉพาะผู้สมัครในสายงานตน ส่วนข้อมูลเงินเดือนหรือประวัติวินัยพนักงานควรจำกัดเฉพาะ HR และผู้บริหารที่เกี่ยวข้องโดยตรง หลักฐานที่ควรเก็บคือตาราง access control พร้อมรายชื่อผู้มีสิทธิ์
6. ตรวจสัญญากับผู้ให้บริการ ATS หรือบริการตรวจประวัติภายนอก — หากใช้ ATS สำเร็จรูปหรือจ้างบริการตรวจประวัติอาชญากรรม ควรตรวจว่าข้อตกลงการใช้บริการระบุขอบเขตการประมวลผลข้อมูลไว้ชัดเจน ข้อมูลถูกเก็บที่ไหน และผู้ให้บริการมีมาตรการความปลอดภัยระดับใด หลักฐานที่ควรเก็บคือสำเนาข้อตกลงหรือ DPA (Data Processing Agreement) กับผู้ให้บริการแต่ละราย
7. กำหนดรอบเก็บและลบข้อมูลพนักงานที่ลาออกหรือถูกเลิกจ้าง — ประวัติผลงาน เงินเดือน และเอกสารสัญญาจ้างของพนักงานที่ออกไปแล้วยังต้องเก็บตามข้อกำหนดทางบัญชีและแรงงานในบางส่วน แต่ไม่ใช่ทุกไฟล์ที่ต้องเก็บไว้ตลอดไป ควรแยกว่าไฟล์ใดต้องเก็บตามกฎหมายแรงงาน ไฟล์ใดควรลบเมื่อพ้นระยะเวลาที่กำหนด หลักฐานที่ควรเก็บคือตารางรอบเก็บ-ลบแยกตามประเภทเอกสาร

ตารางสรุปรอบเก็บข้อมูลที่แนะนำสำหรับทีม HR ขนาดเล็ก

เมื่อทีมโตขึ้น: จุดที่ระบบ HR เดิมเริ่มไม่พอ

สตาร์ทอัพที่มีพนักงานหลักสิบคนอาจใช้ spreadsheet และโฟลเดอร์ไฟล์ร่วมกันจัดการข้อมูล HR ได้อยู่ แต่เมื่อจำนวนพนักงานและตำแหน่งที่เปิดรับพร้อมกันเพิ่มขึ้น การควบคุมว่าใครเข้าถึงไฟล์ไหนได้บ้างจะยากขึ้นตามไปด้วย จุดสังเกตที่บอกว่าถึงเวลาต้องทบทวนระบบคือเมื่อเริ่มมีคนนอกทีม HR ขอเข้าถึงไฟล์ CV เพื่อ "ดูเผื่อ" หรือเมื่อไม่มีใครจำได้แน่ชัดว่าไฟล์ผู้สมัครเก่าที่สุดในระบบเก็บมาตั้งแต่เมื่อไร การย้ายไปใช้ ATS ที่มีระบบสิทธิ์การเข้าถึงและรอบลบอัตโนมัติจะช่วยลดภาระให้ทีมที่ต้องดูแลเรื่องนี้เป็นงานเสริมนอกเหนือจากงานหลักของตน อีกสัญญาณหนึ่งที่บอกว่าถึงเวลาทบทวนคือเมื่อบริษัทเริ่มเปิดรับสมัครพร้อมกันหลายตำแหน่งในหลายประเทศ เพราะข้อมูลผู้สมัครจากต่างประเทศอาจอยู่ภายใต้กฎหมายคุ้มครองข้อมูลของประเทศนั้นเพิ่มเติมจาก PDPA ของไทย ทีม Privacy จึงควรมีรายชื่อประเทศที่เปิดรับสมัครและกฎหมายที่เกี่ยวข้องคร่าว ๆ ไว้เป็นข้อมูลอ้างอิง ไม่ต้องรอให้มีปัญหาเกิดขึ้นก่อนจึงค่อยไปหาคำตอบ

ข้อผิดพลาดที่พบบ่อยเมื่อวางระบบ PDPA ฝ่าย HR ใน SaaS

ข้อผิดพลาดแรกคือปล่อยให้ CV ไหลผ่านหลายช่องทางโดยไม่มีใครรู้ภาพรวมทั้งหมด ทำให้เมื่อผู้สมัครขอใช้สิทธิ์ลบข้อมูล ทีมไม่สามารถตามลบได้ครบทุกที่ ข้อผิดพลาดที่สองคือส่งต่อไฟล์ CV ทั้งไฟล์ให้ผู้สัมภาษณ์ทุกคนโดยไม่ตัดข้อมูลอ่อนไหวที่ไม่เกี่ยวกับตำแหน่งออกก่อน ข้อผิดพลาดที่สามคือเก็บ CV ผู้สมัครเก่าไว้ในโฟลเดอร์ส่วนกลางแบบไม่มีวันหมดอายุ เพราะคิดว่าเผื่อมีประโยชน์ในอนาคต และข้อผิดพลาดสุดท้ายคือใช้บริการ ATS หรือบริการตรวจประวัติภายนอกโดยไม่เคยอ่านข้อตกลงการใช้ข้อมูลของผู้ให้บริการเลยสักครั้ง อีกจุดที่มักถูกมองข้ามคือการลืมแจ้งผู้สมัครว่าข้อมูลของตนถูกใช้อย่างไรตั้งแต่ขั้นตอนแรกที่ส่ง CV เข้ามา ทีมจำนวนมากมัวแต่โฟกัสที่การคัดกรองผู้สมัครจนลืมว่าตัวเองก็มีหน้าที่แจ้งเจ้าของข้อมูลด้วยเช่นกัน เช่นแจ้งว่าข้อมูลจะถูกส่งต่อให้ผู้สัมภาษณ์กี่คน จะมีการตรวจประวัติหรือไม่ และจะเก็บไว้นานเท่าไรหากไม่ผ่านการคัดเลือก การแจ้งข้อมูลนี้ไม่จำเป็นต้องเป็นเอกสารยาวหลายหน้า เพียงระบุไว้สั้น ๆ ในหน้าฟอร์มสมัครงานก็เพียงพอสำหรับทีมขนาดเล็ก

สรุปการวางระบบ PDPA ฝ่าย HR สำหรับ SaaS

ระบบ PDPA ฝั่ง HR ที่ใช้งานได้จริงสำหรับทีมเทคโนโลยีขนาดเล็กไม่จำเป็นต้องซับซ้อนเท่ากรอบงานของบริษัทใหญ่ แต่ต้องครอบคลุมจุดที่มีความเสี่ยงจริงคือการจัดการข้อมูลอ่อนไหวในเอกสารสมัครงาน รอบเก็บ-ลบข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก และการจำกัดสิทธิ์เข้าถึงข้อมูลภายในทีม เมื่อวางระบบเหล่านี้ให้เป็นนิสัยของทีม การดูแลข้อมูลพนักงานและผู้สมัครจะกลายเป็นส่วนหนึ่งของกระบวนการทำงานปกติ ไม่ใช่งานพิเศษที่ต้องมาสะสางทีหลัง อ่านภาพรวมของหัวข้อธุรกิจและอุตสาหกรรมอื่นเพิ่มเติมได้ที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรม และหากต้องการตรวจสอบระบบที่วางไว้แล้วเป็นระยะ สามารถอ่านแนวทางตรวจสอบต่อเนื่องได้ที่ บทความ Audit Guide สำหรับทีม SaaS

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงหลักการทั่วไปตามกรอบ PDPA จากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ทีม HR และ Privacy ควรติดตามประกาศและแนวปฏิบัติล่าสุดจากเว็บไซต์ทางการเพื่อปรับขั้นตอนภายในให้สอดคล้องกับการตีความล่าสุดอยู่เสมอ