วิธี Audit PDPA สำหรับ HR และ Recruitment ของเว็บไซต์ธุรกิจทั่วไปและ SME พร้อม Evidence ที่ควรเก็บ

จากการสำรวจกระบวนการสรรหาบุคลากรของ SME ไทยหลายแห่งพบรูปแบบที่คล้ายกันอย่างหนึ่งคือ ฝ่ายบุคคลของบริษัทขนาดเล็กมากกว่าครึ่งยังเก็บใบสมัครงานและเรซูเม่ของผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ในกล่องอีเมลหรือโฟลเดอร์ส่วนตัวโดยไม่มีกำหนดลบ บางบริษัทเก็บข้อมูลผู้สมัครย้อนหลังไปหลายปีโดยไม่เคยทบทวน และหลายแห่งไม่มีใครในทีมรู้แน่ชัดว่าข้อมูลพนักงานที่ลาออกไปแล้วยังถูกเก็บไว้ที่ไหนบ้าง สถานการณ์เหล่านี้คือความเสี่ยงที่สะสมอยู่เงียบ ๆ ในกระบวนการ HR ของ SME จำนวนมาก และเป็นเหตุผลที่การ Audit อย่างเป็นระบบมีความจำเป็น

บทความนี้เป็นคู่มือ Audit PDPA สำหรับฝ่ายบุคคลและกระบวนการสรรหาบุคลากรของธุรกิจทั่วไปและ SME เขียนขึ้นสำหรับเจ้าของกิจการและผู้ดูแลเว็บไซต์ที่ต้องดูแลเรื่องนี้เองโดยไม่มีทีมกฎหมายเฉพาะทาง เน้นขั้นตอนตรวจสอบที่ทำได้จริงพร้อมตัวอย่าง Evidence ที่ควรเก็บไว้ประกอบการตรวจแต่ละจุด

ทำไมต้อง Audit PDPA ในกระบวนการ HR และ Recruitment ของ SME

ข้อมูลที่ฝ่ายบุคคลจัดการมักเป็นข้อมูลที่ละเอียดอ่อนกว่าข้อมูลลูกค้าทั่วไป เช่น ประวัติการทำงาน เงินเดือน ข้อมูลสุขภาพประกอบการลาป่วย หรือแม้แต่ผลการตรวจสุขภาพก่อนเข้างานในบางตำแหน่ง ขณะเดียวกันกระบวนการสรรหาบุคลากรของ SME มักทำผ่านช่องทางที่ไม่เป็นทางการ เช่น รับใบสมัครทางอีเมลส่วนตัวของผู้จัดการ หรือรับส่งไฟล์ผ่านแอปแชทของทีม ทำให้ข้อมูลกระจายและควบคุมยาก การ Audit จึงไม่ใช่แค่การตรวจตามข้อกำหนด แต่เป็นการลดความเสี่ยงจริงที่อาจกระทบทั้งผู้สมัครงานและพนักงานปัจจุบัน

อีกเหตุผลที่ SME มักมองข้ามคือ กระบวนการ HR มักมีคนเกี่ยวข้องหลายคนพร้อมกัน ทั้งเจ้าของกิจการที่สัมภาษณ์เอง หัวหน้าแผนกที่ร่วมตัดสินใจ และพนักงานธุรการที่จัดการเอกสาร แต่ละคนอาจเก็บสำเนาข้อมูลไว้คนละที่โดยไม่มีใครรู้ภาพรวมทั้งหมด เมื่อถึงเวลาที่ต้องตอบคำถามว่าข้อมูลของผู้สมัครหรือพนักงานคนหนึ่งอยู่ที่ไหนบ้าง มักไม่มีใครตอบได้ครบถ้วนในทันที การ Audit จึงทำหน้าที่รวบรวมภาพที่กระจัดกระจายนี้ให้เป็นภาพเดียวที่ทุกคนในทีมเข้าใจตรงกัน

ขอบเขตการ Audit: ข้อมูลที่ฝ่ายบุคคลเก็บตั้งแต่สมัครงานถึงพ้นสภาพ

การ Audit ที่ครอบคลุมต้องมองตลอดวงจรของพนักงานหนึ่งคน ไม่ใช่แค่ช่วงใดช่วงหนึ่ง แบ่งเป็นสี่ช่วงหลักคือ ช่วงรับสมัครและคัดเลือก ช่วงเริ่มงานและทำสัญญาจ้าง ช่วงเป็นพนักงานประจำ และช่วงหลังพ้นสภาพ แต่ละช่วงมีข้อมูลและความเสี่ยงต่างกัน

• ช่วงรับสมัคร: ใบสมัคร เรซูเม่ ผลการสัมภาษณ์ ผลทดสอบ และในบางกรณีผลตรวจประวัติอาชญากรรมหรือสุขภาพ
• ช่วงเริ่มงาน: สำเนาบัตรประชาชน ข้อมูลบัญชีธนาคาร ข้อมูลผู้ติดต่อฉุกเฉิน และสัญญาจ้างงาน
• ช่วงเป็นพนักงาน: ประวัติการลา ผลประเมินการทำงาน ข้อมูลเงินเดือนและสวัสดิการ
• ช่วงพ้นสภาพ: เอกสารเลิกจ้างหรือลาออก และข้อมูลที่ยังต้องเก็บไว้ตามกฎหมายแรงงานหรือกฎหมายภาษี

Checklist การตรวจสอบทีละหัวข้อ

ใบสมัครงานและเรซูเม่ของผู้ที่ไม่ผ่านการคัดเลือก

ตรวจว่าผู้สมัครที่ไม่ผ่านการคัดเลือกมีข้อมูลค้างอยู่ที่ไหนบ้าง ส่วนใหญ่มักพบว่ากระจายอยู่ในอีเมลของผู้สัมภาษณ์แต่ละคน ไม่ได้รวมไว้ที่จุดเดียว ควรกำหนดว่าจะเก็บข้อมูลผู้สมัครที่ไม่ผ่านไว้นานเท่าไหร่ เช่น หกเดือนถึงหนึ่งปีเผื่อกรณีมีตำแหน่งใหม่ที่เหมาะสมกว่า แล้วลบทิ้งเมื่อพ้นกำหนด แทนที่จะเก็บไว้ถาวรโดยไม่มีเหตุผลรองรับ วิธีตรวจที่ทำได้ง่ายคือให้ผู้สัมภาษณ์แต่ละคนในทีมค้นหาอีเมลด้วยคำว่า resume หรือ ใบสมัคร แล้วดูว่าผลการค้นหาย้อนหลังไปไกลแค่ไหน หากพบไฟล์ที่เก่ากว่าหนึ่งปีจำนวนมาก นั่นคือสัญญาณว่าถึงเวลาต้องรวบรวมและลบตามรอบที่กำหนดไว้

ช่องทางรับสมัครและการเก็บข้อมูลระหว่างสัมภาษณ์

ตรวจว่าช่องทางรับสมัคร เช่น ฟอร์มบนเว็บไซต์บริษัทหรือแพลตฟอร์มหางาน มีการแจ้งวัตถุประสงค์การเก็บข้อมูลให้ผู้สมัครทราบหรือไม่ และระหว่างสัมภาษณ์ หากมีการจดบันทึกหรือบันทึกเสียง ต้องแจ้งผู้สมัครล่วงหน้าและเก็บไฟล์ไว้ในที่ที่เข้าถึงได้เฉพาะผู้เกี่ยวข้อง ไม่ใช่แชร์ไว้ในโฟลเดอร์กลางที่ทุกคนในบริษัทเปิดดูได้ กรณีที่ SME ใช้แพลตฟอร์มหางานภายนอกในการรับสมัคร ควรตรวจเพิ่มเติมด้วยว่าแพลตฟอร์มนั้นมีนโยบายความเป็นส่วนตัวที่ระบุชัดเจนว่าจะส่งต่อข้อมูลผู้สมัครให้บริษัทที่ลงประกาศงานอย่างไร เพื่อให้มั่นใจว่าข้อมูลที่ได้รับมาไม่ได้ถูกเก็บหรือส่งต่อในลักษณะที่ผู้สมัครไม่รับรู้

สัญญาจ้างและเอกสารส่วนบุคคลของพนักงาน

ตรวจว่าสำเนาบัตรประชาชน สมุดบัญชีธนาคาร และเอกสารส่วนตัวอื่นของพนักงานถูกเก็บในที่ปลอดภัย เช่น ตู้เอกสารที่ล็อกกุญแจหรือระบบไฟล์ที่จำกัดสิทธิ์การเข้าถึง ไม่ใช่กองรวมกันในลิ้นชักที่พนักงานทุกคนหยิบดูได้ และตรวจว่าใครบ้างมีสิทธิ์เข้าถึงแฟ้มประวัติพนักงานแต่ละคน

ข้อมูลระหว่างเป็นพนักงาน (ผลประเมิน การลา สวัสดิการ)

ตรวจว่าผลประเมินการทำงานและข้อมูลการลาป่วยซึ่งอาจเกี่ยวข้องกับข้อมูลสุขภาพ ถูกเก็บแยกจากข้อมูลทั่วไปและจำกัดผู้เข้าถึงเฉพาะหัวหน้าโดยตรงและฝ่ายบุคคลเท่านั้น ไม่ควรเปิดเผยผลประเมินหรือเหตุผลการลาป่วยของพนักงานคนหนึ่งให้พนักงานคนอื่นทราบโดยไม่จำเป็น สำหรับ SME ที่ใช้กลุ่มแชทรวมของทีมในการแจ้งเรื่องลาหรือเรื่องส่วนตัวของพนักงาน ควรพิจารณาแยกช่องทางแจ้งเรื่องที่มีรายละเอียดอ่อนไหวออกจากกลุ่มแชทรวม เช่น ให้แจ้งลาป่วยพร้อมเหตุผลเฉพาะกับหัวหน้าโดยตรงหรือฝ่ายบุคคลเท่านั้น ส่วนกลุ่มแชทรวมใช้แจ้งเพียงว่าพนักงานคนใดลาในวันใดโดยไม่ต้องระบุเหตุผล

ข้อมูลพนักงานที่พ้นสภาพแล้ว

ตรวจว่าข้อมูลพนักงานที่ลาออกหรือถูกเลิกจ้างไปแล้วยังถูกเก็บไว้ในระบบที่ใช้งานประจำวันหรือไม่ ควรย้ายไปเก็บแยกต่างหากพร้อมกำหนดระยะเวลาที่ต้องเก็บตามกฎหมายแรงงานหรือกฎหมายภาษี เช่น เอกสารที่เกี่ยวข้องกับการจ่ายเงินเดือนที่ต้องเก็บตามรอบบัญชี แล้วกำหนดวันที่จะลบเมื่อพ้นระยะเวลาที่จำเป็นต้องเก็บ ในทางปฏิบัติ SME หลายแห่งเลือกทำโฟลเดอร์แยกชื่อ "พนักงานพ้นสภาพ" พร้อมปีที่ลาออกกำกับไว้ แล้วตั้งเตือนในปฏิทินให้ทบทวนทุกสิ้นปีว่ามีโฟลเดอร์ปีไหนที่พ้นระยะเวลาที่ต้องเก็บแล้วบ้าง วิธีนี้ไม่ต้องใช้ระบบซับซ้อนแต่ช่วยลดการเก็บข้อมูลเกินความจำเป็นได้อย่างเป็นรูปธรรม

Evidence ที่ควรเก็บไว้เป็นหลักฐานตอน Audit

การ Audit ที่มีประโยชน์ต้องทิ้งร่องรอยไว้เป็นหลักฐาน ไม่ใช่แค่ตรวจแล้วจบไป สิ่งที่ SME ควรเก็บไว้อย่างน้อยคือ

• รายการแหล่งเก็บข้อมูลผู้สมัครและพนักงานทั้งหมด พร้อมวันที่สำรวจล่าสุด
• ภาพหน้าจอหรือไฟล์แจ้งวัตถุประสงค์การเก็บข้อมูลที่ใช้ในฟอร์มสมัครงาน
• บันทึกว่าใครมีสิทธิ์เข้าถึงแฟ้มประวัติพนักงานแต่ละคน และปรับปรุงล่าสุดเมื่อใด
• รายการข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกที่ถูกลบไปแล้ว พร้อมวันที่ลบ
• ผลการตรวจสอบแต่ละรอบ ระบุจุดที่พบปัญหาและวันที่แก้ไขเสร็จ

การให้คะแนนความเสี่ยงและจัดลำดับแก้ไข

เมื่อตรวจครบทุกหัวข้อแล้ว มักพบหลายจุดที่ต้องแก้ไขพร้อมกัน SME ที่มีทีมงานจำกัดไม่สามารถแก้ทุกอย่างพร้อมกันได้ จึงควรจัดลำดับความสำคัญโดยพิจารณาสองปัจจัยคือ ความรุนแรงหากเกิดปัญหา และจำนวนคนที่ได้รับผลกระทบ จุดที่เกี่ยวข้องกับข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพหรือประวัติอาชญากรรม ควรได้รับการแก้ไขก่อนจุดที่เป็นเพียงเรื่องความเป็นระเบียบทั่วไป เช่น การจัดหมวดหมู่ไฟล์ให้สวยงามขึ้น

ตัวอย่างการจัดลำดับที่ใช้ได้จริงคือ เริ่มจากจุดที่มีคนเข้าถึงข้อมูลอ่อนไหวได้กว้างเกินความจำเป็นก่อน เช่น ผลตรวจสุขภาพที่ทุกคนในทีมเปิดดูได้ ตามด้วยจุดที่เก็บข้อมูลไว้นานเกินความจำเป็นโดยไม่มีเหตุผลรองรับ เช่น เรซูเม่ผู้สมัครเก่าหลายปี แล้วจึงตามด้วยจุดที่เป็นเรื่องกระบวนการ เช่น การแจ้งวัตถุประสงค์ในฟอร์มสมัครงานที่ยังไม่ครบถ้วน

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit PDPA ฝ่าย HR

• ไม่รวมข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกเข้าไปในขอบเขตการ Audit เพราะคิดว่าไม่ใช่พนักงานแล้วจึงไม่เกี่ยวข้อง
• ให้สิทธิ์เข้าถึงแฟ้มประวัติพนักงานกว้างเกินไป โดยไม่จำกัดเฉพาะผู้ที่จำเป็นต้องใช้
• เก็บข้อมูลพนักงานที่พ้นสภาพไว้ในระบบเดียวกับพนักงานปัจจุบันโดยไม่แยกและไม่กำหนดวันลบ
• ตรวจสอบเพียงครั้งเดียวตอนเริ่มทำแล้วไม่เคยกลับมาตรวจซ้ำ แม้กระบวนการสรรหาจะเปลี่ยนไปแล้ว
• ไม่เก็บหลักฐานการตรวจสอบไว้ ทำให้ตอบไม่ได้เมื่อต้องอธิบายว่าเคยตรวจสอบอะไรไปบ้าง

สรุป

การ Audit PDPA สำหรับฝ่าย HR และ Recruitment ของ SME ควรมองข้อมูลตลอดวงจรพนักงาน ตั้งแต่วันที่ยื่นใบสมัครจนถึงหลังพ้นสภาพ ตรวจแต่ละจุดเทียบกับสิ่งที่เก็บจริง เก็บหลักฐานทุกครั้งที่ตรวจ และจัดลำดับแก้ไขตามความรุนแรงของความเสี่ยง ทีมขนาดเล็กไม่จำเป็นต้องแก้ทุกจุดพร้อมกัน ขอเพียงเริ่มจากจุดที่กระทบข้อมูลอ่อนไหวมากที่สุดก่อน ดูภาพรวมของกลุ่มหัวข้อนี้เพิ่มเติมได้ที่ คู่มือ PDPA สำหรับ HR และ Recruitment สำหรับ SME และดูขั้นตอนเริ่มต้นก่อนตรวจได้ที่ วิธีวางระบบ PDPA สำหรับ HR และ Recruitment แบบเป็นขั้นตอน

แหล่งข้อมูลอ้างอิง

เนื้อหาในบทความนี้อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นแนวทางปฏิบัติทั่วไปสำหรับกระบวนการ HR ของ SME ไม่ใช่คำแนะนำทางกฎหมายเฉพาะกรณี ประเด็นเกี่ยวกับกฎหมายแรงงานควรตรวจสอบเพิ่มเติมกับหน่วยงานที่เกี่ยวข้องหรือผู้เชี่ยวชาญด้านแรงงานโดยตรง ดูข้อมูลหลักได้ที่ pdpc.or.th และดูหัวข้ออื่นที่เกี่ยวข้องได้ที่ ศูนย์ความรู้ Business, Industry & SEO