เช็กลิสต์ PDPA สำหรับ HR และ Recruitment สำหรับเว็บไซต์ธุรกิจทั่วไปและ SME: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

ฟอร์มสมัครงานบนเว็บไซต์บริษัทหลายแห่งเก็บเลขบัตรประชาชน วุฒิการศึกษา ประวัติการทำงาน และในบางกรณีเก็บประวัติอาชญากรรมหรือผลตรวจสุขภาพของผู้สมัคร โดยไม่มีช่องขอความยินยอมที่ชัดเจน ไม่มีการแจ้งว่าจะเก็บข้อมูลไว้นานเท่าไร และไม่มีขั้นตอนทำลายข้อมูลของผู้สมัครที่ไม่ผ่านการคัดเลือก นี่คือสภาพจริงของหน้า Recruitment บนเว็บไซต์ SME จำนวนมาก และเป็นจุดที่มีความเสี่ยงด้าน PDPA สูงกว่าที่เจ้าของกิจการหลายคนคาดคิด เพราะข้อมูลผู้สมัครงานมักมีทั้งข้อมูลส่วนบุคคลทั่วไปและข้อมูลอ่อนไหวปะปนกันอยู่ในฟอร์มเดียว

ทำไมฟอร์มและกระบวนการ Recruitment บนเว็บไซต์ SME ถึงมีความเสี่ยงสูง

ต่างจากฟอร์มติดต่อทั่วไปที่เก็บแค่ชื่อและอีเมล ฟอร์มสมัครงานมักขอข้อมูลจำนวนมากในครั้งเดียว เช่น ประวัติการศึกษา ประวัติการทำงาน เงินเดือนที่คาดหวัง สถานภาพครอบครัว และบางแบบฟอร์มยังแนบช่องให้แนบไฟล์เรซูเม่ที่มีรูปถ่าย ศาสนา หรือแม้แต่ผลตรวจสุขภาพ ซึ่งจัดเป็นข้อมูลอ่อนไหวตามกฎหมาย นอกจากนี้ SME จำนวนมากยังส่งต่อข้อมูลผู้สมัครให้บุคคลที่สามโดยไม่รู้ตัว เช่น การใช้ปลั๊กอิน Job Board ฝังอยู่ในเว็บไซต์ การส่งเรซูเม่ต่อให้หัวหน้าแผนกทางอีเมลส่วนตัว หรือการเก็บไฟล์เรซูเม่ไว้ใน Google Drive ที่แชร์แบบเปิดสาธารณะ ทีมงานของ SME มักมีขนาดเล็ก ไม่มีแผนกกฎหมายหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลโดยเฉพาะ จึงต้องอาศัยเช็กลิสต์ที่ทำตามได้จริงมากกว่าคู่มือเชิงทฤษฎี

เช็กลิสต์ 6 หมวดที่ต้องตรวจก่อนเปิดใช้งานฟอร์มสมัครงาน

1) ฐานทางกฎหมายและความยินยอม

ตรวจว่าฟอร์มสมัครงานมีช่องให้ผู้สมัครกดยืนยันการรับทราบนโยบายความเป็นส่วนตัวก่อนกดส่งข้อมูลหรือไม่ ปุ่ม "ส่งใบสมัคร" ไม่ควรเปิดใช้งานได้จนกว่าผู้สมัครจะติ๊กยืนยัน และข้อความยินยอมต้องเขียนแยกจากเงื่อนไขการใช้งานเว็บไซต์ทั่วไป เพื่อให้ผู้สมัครเข้าใจว่ากำลังยินยอมเรื่องอะไรอยู่

2) ข้อมูลอ่อนไหวในฟอร์มสมัครงาน

ไล่ดูทุกช่องในฟอร์มว่ามีช่องใดที่เข้าข่ายข้อมูลอ่อนไหวบ้าง เช่น ศาสนา หมู่เลือด ประวัติสุขภาพ ประวัติอาชญากรรม หรือข้อมูลที่บ่งชี้เชื้อชาติ ถ้าไม่จำเป็นต่อตำแหน่งงานจริง ๆ ควรตัดออกจากฟอร์มไปเลย ตำแหน่งที่จำเป็นต้องใช้ เช่น งานด้านการเงินที่ต้องตรวจประวัติอาชญากรรม ควรแยกขั้นตอนขอความยินยอมเฉพาะออกจากฟอร์มสมัครงานทั่วไป และระบุเหตุผลความจำเป็นให้ชัดเจน

3) การแจ้งวัตถุประสงค์ผ่าน Privacy Notice

ตรวจว่าใกล้ ๆ ฟอร์มสมัครงานมีลิงก์ไปยังประกาศความเป็นส่วนตัวสำหรับผู้สมัครงานโดยเฉพาะหรือไม่ ประกาศนี้ควรแยกจากประกาศความเป็นส่วนตัวสำหรับลูกค้าทั่วไป เพราะวัตถุประสงค์การใช้ข้อมูลต่างกัน และควรระบุให้ชัดว่าจะใช้ข้อมูลเพื่อพิจารณาคัดเลือกเข้าทำงานเท่านั้น ไม่นำไปใช้เพื่อการตลาดหรือส่งต่อให้บริษัทในเครือโดยไม่แจ้งล่วงหน้า

4) การส่งข้อมูลให้บุคคลที่สาม เช่น Job Board หรือ HR ภายนอก

ถ้าเว็บไซต์เชื่อมต่อกับ Job Board ภายนอก ใช้ระบบ ATS (Applicant Tracking System) ของผู้ให้บริการรายอื่น หรือส่งต่อเรซูเม่ให้บริษัทจัดหางานช่วยคัดกรอง ต้องตรวจว่ามีข้อตกลงประมวลผลข้อมูลกับผู้ให้บริการเหล่านั้นหรือไม่ และผู้สมัครรับทราบเรื่องการส่งต่อข้อมูลนี้ตั้งแต่ตอนกรอกฟอร์มแล้วหรือยัง

5) การจัดเก็บ การเข้าถึง และระยะเวลาจัดเก็บ

ตรวจว่าไฟล์เรซูเม่และข้อมูลผู้สมัครถูกเก็บไว้ที่ใด ใครเข้าถึงได้บ้าง และมีการกำหนดระยะเวลาจัดเก็บชัดเจนหรือไม่ SME จำนวนมากเก็บเรซูเม่ไว้ในอีเมลหรือโฟลเดอร์ที่พนักงานทุกคนเข้าถึงได้โดยไม่จำเป็น ควรจำกัดสิทธิ์การเข้าถึงเฉพาะฝ่าย HR และผู้มีอำนาจตัดสินใจจ้างงานเท่านั้น

6) การทำลายข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก

ตรวจว่ามีขั้นตอนลบหรือทำลายข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกหลังพ้นระยะเวลาที่กำหนดไว้หรือไม่ หลายบริษัทเก็บเรซูเม่ผู้สมัครเก่าไว้ "เผื่อใช้ในอนาคต" โดยไม่มีกำหนดเวลา ซึ่งเป็นการเก็บข้อมูลเกินความจำเป็นตามวัตถุประสงค์เดิมที่แจ้งไว้

หมวดที่ตรวจ	สิ่งที่ควรมี	Evidence ที่เก็บไว้
ความยินยอม	ช่องติ๊กยืนยันแยกจากเงื่อนไขทั่วไป	Log วันเวลาที่กดยืนยัน
ข้อมูลอ่อนไหว	ช่องขอเฉพาะที่จำเป็นต่อตำแหน่ง	รายการเหตุผลความจำเป็นต่อตำแหน่ง
Privacy Notice	ประกาศเฉพาะผู้สมัครงาน	ลิงก์และเวอร์ชันประกาศที่ใช้งาน
บุคคลที่สาม	ข้อตกลงกับ Job Board / ATS	สัญญาหรือข้อตกลงประมวลผลข้อมูล
การจัดเก็บ	จำกัดสิทธิ์เข้าถึงเฉพาะ HR	รายชื่อผู้มีสิทธิ์เข้าถึงระบบ
การทำลายข้อมูล	กำหนดรอบลบข้อมูลผู้สมัครที่ไม่ผ่าน	บันทึกการลบข้อมูลตามรอบ

ตัวอย่าง Evidence ที่ควรเตรียมไว้

เมื่อมีการตรวจสอบภายในหรือมีผู้สมัครสอบถามสิทธิ์ของตนเอง เจ้าของกิจการควรมีเอกสารพร้อมอ้างอิงได้ทันที เช่น ภาพหน้าจอฟอร์มสมัครงานพร้อมช่องยืนยันความยินยอม บันทึกวันที่ปรับปรุงประกาศความเป็นส่วนตัวล่าสุด รายชื่อผู้ให้บริการภายนอกที่เข้าถึงข้อมูลผู้สมัคร และปฏิทินรอบการลบข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก การเตรียม Evidence เหล่านี้ไว้ล่วงหน้าช่วยให้ตอบคำถามได้เร็วขึ้นมาก เมื่อเทียบกับการไล่หาย้อนหลังตอนมีปัญหาแล้ว

ข้อผิดพลาดที่พบบ่อยเมื่อ SME ทำ PDPA สำหรับงาน HR และ Recruitment

• ใช้ฟอร์มสมัครงานเทมเพลตเดียวกับฟอร์มติดต่อสอบถามทั่วไป ไม่มีข้อความยินยอมเฉพาะสำหรับผู้สมัครงาน
• เก็บเรซูเม่ผู้สมัครทุกคนไว้ถาวรโดยไม่มีกำหนดลบ แม้ตำแหน่งนั้นปิดรับสมัครไปนานแล้ว
• ให้พนักงานทุกแผนกเข้าถึงโฟลเดอร์เรซูเม่ร่วมกันได้ ทั้งที่ไม่เกี่ยวข้องกับการคัดเลือก
• ขอข้อมูลอ่อนไหว เช่น ศาสนา หมู่เลือด หรือประวัติสุขภาพ ในทุกตำแหน่งโดยไม่แยกความจำเป็น
• เชื่อมต่อปลั๊กอิน Job Board หรือ ATS จากผู้ให้บริการภายนอกโดยไม่ตรวจสอบข้อตกลงประมวลผลข้อมูล

ฟอร์มสมัครงานที่ดูเรียบง่าย มักเป็นจุดที่มีข้อมูลอ่อนไหวซ่อนอยู่มากที่สุดในเว็บไซต์ธุรกิจ SME

วิธีนำเช็กลิสต์นี้ไปใช้จริงในทีมขนาดเล็ก

เจ้าของกิจการหรือผู้ดูแลเว็บไซต์ที่ทำงานคนเดียวหรือมีทีมไม่เกิน 2-3 คน ไม่จำเป็นต้องตรวจครบทั้ง 6 หมวดในวันเดียว วิธีที่ทำได้จริงคือแบ่งตรวจทีละหมวดในแต่ละสัปดาห์ เริ่มจากหมวดที่มีความเสี่ยงสูงสุดก่อน คือความยินยอมและข้อมูลอ่อนไหว เพราะเป็นจุดที่กระทบผู้สมัครโดยตรงมากที่สุด จากนั้นค่อยไล่ตรวจหมวดการจัดเก็บและการทำลายข้อมูล ซึ่งส่วนใหญ่แก้ไขได้ด้วยการปรับสิทธิ์การเข้าถึงไฟล์และตั้งปฏิทินเตือนความจำ ไม่จำเป็นต้องใช้ระบบซอฟต์แวร์ราคาแพง

สิ่งที่ช่วยได้มากสำหรับทีมขนาดเล็กคือการทำเอกสารเช็กลิสต์นี้เป็นไฟล์เดียวที่แชร์ในทีม แล้วให้ผู้รับผิดชอบแต่ละหมวดติ๊กสถานะและแนบ Evidence ไว้ในไฟล์เดียวกัน เมื่อมีการเปลี่ยนแปลงฟอร์มสมัครงานหรือเปลี่ยนผู้ให้บริการ Job Board ก็กลับมาไล่เช็กลิสต์นี้ซ้ำอีกครั้ง แทนที่จะรอให้มีปัญหาเกิดขึ้นก่อนแล้วค่อยย้อนกลับมาแก้

คำถามที่มักเจอเมื่อเริ่มตรวจ PDPA สำหรับฟอร์มสมัครงาน

คำถามหนึ่งที่พบบ่อยคือ ต้องทำเอกสารกี่ฉบับถึงจะเพียงพอ คำตอบคือไม่มีจำนวนฉบับตายตัว สิ่งที่สำคัญกว่าคือแต่ละฉบับต้องสะท้อนสิ่งที่ทำจริงในระบบ เช่น ถ้าประกาศความเป็นส่วนตัวระบุว่าจะเก็บข้อมูลผู้สมัครไม่เกิน 6 เดือน แต่ระบบจริงยังเก็บเรซูเม่เก่าไว้เกิน 2 ปี ความไม่สอดคล้องกันนี้คือปัญหาที่ผู้ตรวจสอบมักพบบ่อยที่สุด อีกคำถามที่พบบ่อยคือกรณีที่ใช้ Google Form หรือ Excel ธรรมดาในการรับสมัครงาน แนวทางเดียวกันนี้ยังใช้ได้ เพียงแต่ต้องตรวจเพิ่มเติมว่าไฟล์หรือฟอร์มเหล่านั้นตั้งค่าการเข้าถึงแบบจำกัดเฉพาะผู้เกี่ยวข้องหรือเปิดสาธารณะโดยไม่ตั้งใจ

บทสรุป

การตรวจ PDPA สำหรับหน้า Recruitment บนเว็บไซต์ SME ไม่จำเป็นต้องใช้ทีมกฎหมายขนาดใหญ่ แต่ต้องไล่ตรวจตามเช็กลิสต์ทั้ง 6 หมวดอย่างสม่ำเสมอ ตั้งแต่ความยินยอม ข้อมูลอ่อนไหว การแจ้งวัตถุประสงค์ การส่งต่อให้บุคคลที่สาม การจัดเก็บ ไปจนถึงการทำลายข้อมูล เจ้าของกิจการที่เริ่มจากเช็กลิสต์นี้ก่อนเปิดใช้งานฟอร์มสมัครงานใหม่ทุกครั้ง จะลดความเสี่ยงจากการเก็บข้อมูลเกินความจำเป็นได้อย่างเป็นระบบ หากต้องการขั้นตอนลงมือทำแบบละเอียด สามารถอ่านต่อได้ที่ คู่มือวิธีวางระบบ PDPA สำหรับ HR และ Recruitment แบบเป็นขั้นตอน

แหล่งข้อมูลอ้างอิง

อ้างอิงแนวปฏิบัติจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) และดูภาพรวมหัวข้ออื่นที่เกี่ยวข้องเพิ่มเติมได้ที่ หมวดความรู้ Business, Industry & SEO หรือ คู่มือภาพรวม PDPA สำหรับ HR และ Recruitment สำหรับ SME