อัปเดต PDPA สำหรับ HR และ Recruitment ปี 2026: สิ่งที่เว็บไซต์ธุรกิจทั่วไปและ SMEต้องทบทวน

หลายธุรกิจ SME เข้าใจว่าทำแบบฟอร์มขอความยินยอมและประกาศความเป็นส่วนตัวไว้ครั้งเดียวตอนเปิดหน้ารับสมัครงานก็เพียงพอแล้วตลอดไป แต่ความจริงคือกระบวนการสรรหาเปลี่ยนบ่อยกว่าที่คิดมาก เปลี่ยนผู้ให้บริการ Job Board เปลี่ยนระบบคัดกรองเรซูเม่ เพิ่มตำแหน่งใหม่ที่ต้องขอข้อมูลอ่อนไหวเพิ่ม ทุกครั้งที่มีการเปลี่ยนแปลงเหล่านี้ ประกาศความเป็นส่วนตัวและขั้นตอนที่เขียนไว้เดิมมักไม่ตรงกับสิ่งที่ระบบทำจริงอีกต่อไป และนี่คือช่องว่างที่การอัปเดตปี 2026 ต้องมาปิด

สมมติฐานที่ SME มักเข้าใจผิดเกี่ยวกับ PDPA งาน HR

สมมติฐานที่พบบ่อยที่สุดคือ "ทำเอกสารไว้ครั้งเดียวแล้วจบ" ซึ่งใช้ไม่ได้กับกระบวนการสรรหาที่มีการเปลี่ยนแปลงตลอดเวลา อีกสมมติฐานหนึ่งคือ "ธุรกิจเล็กไม่ใช่เป้าหมายของการตรวจสอบ" ซึ่งในทางปฏิบัติ ข้อร้องเรียนจากผู้สมัครงานที่ไม่ผ่านการคัดเลือกและรู้สึกว่าข้อมูลของตนถูกเก็บไว้นานเกินจำเป็นหรือถูกส่งต่อโดยไม่รู้ตัว เป็นหนึ่งในช่องทางที่ทำให้ธุรกิจขนาดเล็กถูกตรวจสอบได้เช่นกัน ไม่ต่างจากธุรกิจขนาดใหญ่

สิ่งที่เปลี่ยนไปในปี 2026 ที่กระทบกระบวนการสรรหาบนเว็บไซต์

การตรวจสอบข้อมูลอ่อนไหวในฟอร์มสมัครงานเข้มขึ้น

แนวโน้มปี 2026 ให้ความสำคัญกับการแยกข้อมูลอ่อนไหวออกจากข้อมูลทั่วไปในฟอร์มสมัครงานมากขึ้น ฟอร์มที่ยังรวมช่องศาสนา หมู่เลือด หรือประวัติสุขภาพไว้กับข้อมูลพื้นฐานโดยไม่มีคำอธิบายความจำเป็น เป็นจุดที่ถูกตั้งข้อสังเกตบ่อยขึ้นเมื่อเทียบกับปีก่อนหน้า SME ที่ยังใช้ฟอร์มเดิมตั้งแต่ตอนเปิดเว็บไซต์ครั้งแรกควรกลับไปไล่ดูทุกช่องอีกครั้ง

ความคาดหวังเรื่องระยะเวลาจัดเก็บและการทำลายข้อมูลชัดเจนขึ้น

ในอดีต หลายธุรกิจเขียนในประกาศความเป็นส่วนตัวว่า "จะเก็บข้อมูลตามความจำเป็น" โดยไม่ระบุระยะเวลา ซึ่งเป็นข้อความที่กว้างเกินไป แนวปฏิบัติที่ปรับปรุงในปี 2026 คาดหวังให้ระบุระยะเวลาจัดเก็บที่ชัดเจนเป็นตัวเลข เช่น เก็บเรซูเม่ผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ไม่เกิน 6 เดือน แล้วมีขั้นตอนลบข้อมูลจริงเมื่อครบกำหนด ไม่ใช่แค่เขียนไว้ในเอกสารแต่ระบบจริงไม่มีการลบ

การใช้ AI หรือระบบอัตโนมัติคัดกรองเรซูเม่ต้องโปร่งใสมากขึ้น

SME จำนวนมากเริ่มใช้เครื่องมือคัดกรองเรซูเม่อัตโนมัติเพื่อประหยัดเวลา ซึ่งเป็นเรื่องที่ทำได้ แต่ประกาศความเป็นส่วนตัวต้องระบุให้ผู้สมัครทราบว่ามีการใช้ระบบอัตโนมัติในการคัดกรองเบื้องต้น และควรมีช่องทางให้ผู้สมัครสอบถามหรือขอให้มนุษย์ทบทวนผลการคัดกรองได้ หากยังไม่เคยแจ้งเรื่องนี้ไว้ ควรปรับปรุงประกาศความเป็นส่วนตัวโดยเร็ว

จุดที่ต้องทบทวนซ้ำแม้เคยทำ PDPA ไว้แล้ว

จุดที่ทบทวน	เคยทำไว้เมื่อไร	สิ่งที่ต้องตรวจซ้ำในปี 2026
ฟอร์มสมัครงาน	ตอนเปิดเว็บไซต์ครั้งแรก	มีช่องข้อมูลอ่อนไหวที่ไม่จำเป็นหลงเหลืออยู่หรือไม่
ประกาศความเป็นส่วนตัว	เขียนครั้งเดียวไม่เคยแก้	ระยะเวลาจัดเก็บตรงกับสิ่งที่ทำจริงหรือไม่
ผู้ให้บริการภายนอก	เชื่อมต่อ Job Board ตอนเริ่มธุรกิจ	เปลี่ยนผู้ให้บริการแล้วอัปเดตข้อตกลงหรือยัง
ระบบคัดกรอง	เพิ่งเริ่มใช้เครื่องมืออัตโนมัติ	แจ้งผู้สมัครเรื่องการใช้ระบบอัตโนมัติแล้วหรือไม่

ตัวอย่าง Evidence ที่ควรปรับปรุงในรอบทบทวนปี 2026

เอกสารที่ควรอัปเดตให้ตรงกับสถานะปัจจุบัน ได้แก่ ประกาศความเป็นส่วนตัวสำหรับผู้สมัครงานที่ระบุระยะเวลาจัดเก็บเป็นตัวเลขชัดเจน บันทึกรายชื่อผู้ให้บริการภายนอกที่เข้าถึงข้อมูลผู้สมัครในปัจจุบัน ไม่ใช่รายชื่อเก่าที่เลิกใช้ไปแล้ว และบันทึกรอบการลบข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกในช่วง 6-12 เดือนที่ผ่านมา เพื่อยืนยันว่าขั้นตอนที่เขียนไว้ถูกทำจริงอย่างต่อเนื่อง ไม่ใช่แค่ทำครั้งเดียวตอนเริ่มต้น

ข้อผิดพลาดที่พบบ่อยเมื่อทบทวนระบบ PDPA เดิม

• ไม่เคยกลับมาอ่านประกาศความเป็นส่วนตัวซ้ำหลังจากเปลี่ยนผู้ให้บริการ Job Board
• ระบุระยะเวลาจัดเก็บข้อมูลแบบกว้าง ๆ โดยไม่มีตัวเลขและไม่มีขั้นตอนลบจริง
• เริ่มใช้เครื่องมือคัดกรองเรซูเม่อัตโนมัติแต่ไม่ได้แจ้งผู้สมัครในประกาศความเป็นส่วนตัว
• คิดว่าธุรกิจขนาดเล็กไม่ใช่เป้าหมายของการตรวจสอบ จึงไม่จัดรอบทบทวนเอกสารเลย

ระบบ PDPA ที่ทำถูกต้องตอนเปิดตัว อาจกลายเป็นระบบที่ล้าสมัยได้ภายในไม่กี่เดือน ถ้ากระบวนการสรรหาเปลี่ยนแต่เอกสารไม่เปลี่ยนตาม

วิธีจัดรอบทบทวนให้เหมาะกับทีมขนาดเล็ก

สำหรับ SME ที่ไม่มีทีมกฎหมายเฉพาะ วิธีที่ทำได้จริงคือกำหนดรอบทบทวนทุก 3-6 เดือน ให้ผู้ดูแลเว็บไซต์หรือฝ่าย HR ไล่ตรวจ 4 จุดในตารางด้านบนพร้อมกับรอบตรวจสอบระบบเว็บไซต์ปกติ เช่น รอบอัปเดตปลั๊กอินหรือรอบตรวจสอบความปลอดภัยเว็บไซต์ เพื่อไม่ให้ต้องจำวันแยกต่างหาก และควรบันทึกทุกครั้งที่ทบทวนแล้วว่าไม่มีการเปลี่ยนแปลง หรือมีการเปลี่ยนแปลงอะไรบ้าง เพื่อให้มีหลักฐานย้อนหลังว่าเป็นกระบวนการที่ทำต่อเนื่อง ไม่ใช่ทำเฉพาะตอนเปิดเว็บไซต์ครั้งแรกเท่านั้น

ตัวอย่างสถานการณ์ที่มักเจอเมื่อเริ่มทบทวนระบบเดิม

ธุรกิจ SME รายหนึ่งที่ทำร้านค้าออนไลน์และมีทีมงาน 8 คน เปิดหน้ารับสมัครงานบนเว็บไซต์ไว้ตั้งแต่ปีก่อน และไม่เคยแก้ไขฟอร์มหรือประกาศความเป็นส่วนตัวอีกเลย เมื่อกลับมาไล่ตรวจตามจุดทบทวนทั้ง 4 ข้อ พบว่าฟอร์มยังมีช่องขอศาสนาและหมู่เลือดที่ไม่เกี่ยวข้องกับตำแหน่งงานที่เปิดรับ ประกาศความเป็นส่วนตัวเขียนไว้กว้าง ๆ ว่า "เก็บข้อมูลตามความจำเป็น" โดยไม่มีตัวเลข และเพิ่งเปลี่ยนมาใช้ระบบคัดกรองเรซูเม่อัตโนมัติเมื่อ 2 เดือนก่อนโดยไม่ได้แก้ไขประกาศให้สอดคล้อง กรณีนี้สะท้อนให้เห็นว่าการเปลี่ยนแปลงเล็ก ๆ ในกระบวนการสรรหาสามารถทำให้เอกสารที่เคยถูกต้องกลายเป็นเอกสารที่ไม่ตรงกับความเป็นจริงได้ภายในเวลาไม่กี่เดือน โดยที่เจ้าของธุรกิจอาจไม่ทันสังเกต

เมื่อพบช่องว่างแบบนี้ ขั้นตอนแก้ไขไม่จำเป็นต้องทำใหม่ทั้งหมด เพียงแก้ไข 3 จุด คือ ตัดช่องข้อมูลอ่อนไหวที่ไม่จำเป็นออกจากฟอร์ม ปรับประกาศความเป็นส่วนตัวให้ระบุระยะเวลาจัดเก็บเป็นตัวเลขและกล่าวถึงการใช้ระบบคัดกรองอัตโนมัติ และตั้งปฏิทินเตือนให้กลับมาทบทวนอีกครั้งภายใน 6 เดือน วิธีนี้ใช้เวลาไม่นานแต่ช่วยให้เอกสารกลับมาตรงกับสิ่งที่ระบบทำจริงได้เร็วขึ้นมาก

ใครควรเป็นผู้รับผิดชอบรอบทบทวนในทีมขนาดเล็ก

ใน SME ที่ไม่มีตำแหน่งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลโดยเฉพาะ ผู้ดูแลเว็บไซต์หรือฝ่าย HR มักเป็นผู้รับผิดชอบหลักในการทบทวนระบบ แต่สิ่งที่ควรเพิ่มเติมคือให้เจ้าของกิจการเข้ามารับทราบผลการทบทวนทุกครั้ง โดยเฉพาะเมื่อพบว่าต้องแก้ไขฟอร์มหรือประกาศความเป็นส่วนตัว เพราะการเปลี่ยนแปลงกระบวนการสรรหา เช่น การเปลี่ยนผู้ให้บริการ Job Board หรือการเริ่มใช้ระบบคัดกรองอัตโนมัติ มักเป็นการตัดสินใจระดับเจ้าของกิจการอยู่แล้ว การให้เจ้าของกิจการรับทราบตั้งแต่ต้นช่วยลดโอกาสที่ระบบใหม่จะถูกนำมาใช้งานก่อนที่เอกสารจะถูกปรับปรุงตาม

สรุป

การอัปเดต PDPA สำหรับงาน HR และ Recruitment ในปี 2026 ไม่ได้เปลี่ยนหลักการพื้นฐาน แต่เพิ่มความคาดหวังเรื่องความชัดเจนของระยะเวลาจัดเก็บ ความโปร่งใสของระบบคัดกรองอัตโนมัติ และความสม่ำเสมอในการทบทวนเอกสารให้ตรงกับสิ่งที่ทำจริง SME ที่เคยทำ PDPA ไว้ตั้งแต่ตอนเปิดเว็บไซต์ควรกลับมาไล่ตรวจ 4 จุดสำคัญนี้อย่างน้อยปีละ 2 ครั้ง หากยังไม่เคยมีเช็กลิสต์ตรวจสอบแบบเป็นระบบ สามารถเริ่มจาก เช็กลิสต์ PDPA สำหรับ HR และ Recruitment สำหรับ SME และดูขั้นตอนลงมือทำแบบละเอียดได้ที่ คู่มือวิธีวางระบบ PDPA สำหรับ HR และ Recruitment

แหล่งข้อมูลอ้างอิง

อ้างอิงแนวปฏิบัติจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) และดูภาพรวมหัวข้ออื่นในกลุ่มนี้ได้ที่ หมวดความรู้ Business, Industry & SEO