PDPA สำหรับ HR และ Recruitment คืออะไร? คู่มือสำหรับเว็บไซต์ธุรกิจทั่วไปและ SME

บ่ายวันศุกร์ เจ้าของร้านวัสดุก่อสร้างขนาด 12 คนแห่งหนึ่งเปิดอีเมลแล้วพบใบสมัครงานตำแหน่งพนักงานคลังสินค้ากว่า 30 ฉบับ แต่ละฉบับแนบสำเนาบัตรประชาชน เลขบัญชีธนาคาร และในบางฉบับมีประวัติสุขภาพแนบมาด้วยเพราะผู้สมัครเข้าใจว่าต้องยื่นทุกอย่างพร้อมกัน เขาเก็บไฟล์เหล่านี้ไว้ในโฟลเดอร์ Google Drive ที่แชร์ลิงก์แบบเปิดให้ผู้จัดการทุกสาขาเข้าถึง โดยไม่เคยลบไฟล์ของผู้สมัครที่ไม่ผ่านการคัดเลือกเลยสักฉบับตลอด 3 ปีที่ผ่านมา นี่คือภาพที่เกิดขึ้นจริงในธุรกิจ SME จำนวนมาก และเป็นจุดที่ PDPA เข้ามาเกี่ยวข้องโดยตรงกับงาน HR และ Recruitment

PDPA สำหรับ HR และ Recruitment คืออะไร

PDPA หรือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล กำหนดว่าองค์กรที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลธรรมดา ต้องมีฐานทางกฎหมายรองรับ แจ้งวัตถุประสงค์ และดูแลความปลอดภัยของข้อมูลนั้น งาน HR และ Recruitment เป็นจุดที่ข้อมูลส่วนบุคคลไหลเข้าองค์กรมากที่สุดจุดหนึ่ง เพราะทุกใบสมัครงานมีชื่อ ที่อยู่ เบอร์โทร อีเมล ประวัติการศึกษา ประวัติการทำงาน และบางครั้งมีข้อมูลอ่อนไหวอย่างศาสนา ประวัติอาชญากรรม หรือผลตรวจสุขภาพแนบมาด้วย สำหรับ SME ที่ไม่มีแผนกกฎหมายหรือเจ้าหน้าที่คุ้มครองข้อมูลประจำ การเข้าใจ PDPA ในบริบทนี้จึงต้องเน้นที่ขั้นตอนปฏิบัติที่ทำได้จริงมากกว่าทฤษฎีทางกฎหมายที่ซับซ้อน

สิ่งที่ทำให้ HR และ Recruitment แตกต่างจากงานอื่นคือความสัมพันธ์ระหว่างองค์กรกับผู้สมัครงานยังไม่ใช่พนักงาน จึงมักไม่มีสัญญาจ้างเป็นฐานทางกฎหมายรองรับการเก็บข้อมูล ต้องอาศัยฐานอื่น เช่น การขอความยินยอม หรือฐานที่จำเป็นต่อการเข้าทำสัญญาก่อนที่จะจ้างจริง ธุรกิจ SME ที่รับสมัครงานผ่านเว็บไซต์ Facebook หรือแพลตฟอร์มหางาน จึงต้องออกแบบขั้นตอนการเก็บข้อมูลให้รัดกุมตั้งแต่วันแรกที่เปิดรับสมัคร

ข้อมูลอะไรบ้างในกระบวนการ HR ที่ PDPA ครอบคลุม

ข้อมูลที่เกี่ยวข้องกับ HR และ Recruitment แบ่งเป็นสองกลุ่มหลัก กลุ่มแรกคือข้อมูลทั่วไป เช่น ชื่อ-นามสกุล เบอร์โทร อีเมล ที่อยู่ วุฒิการศึกษา ประสบการณ์ทำงาน และผลการสัมภาษณ์ กลุ่มที่สองคือข้อมูลอ่อนไหวซึ่งต้องขอความยินยอมโดยชัดแจ้งเป็นพิเศษ เช่น ผลตรวจสุขภาพ ประวัติอาชญากรรม ศาสนา เชื้อชาติ หรือข้อมูลสุขภาพจิตที่บางองค์กรขอในแบบทดสอบทางจิตวิทยา

• ข้อมูลระบุตัวตน เช่น สำเนาบัตรประชาชน สำเนาทะเบียนบ้าน วันเดือนปีเกิด
• ข้อมูลติดต่อ เช่น เบอร์โทร อีเมล ที่อยู่ปัจจุบัน
• ข้อมูลประวัติการทำงานและการศึกษา รวมถึงหนังสือรับรองเงินเดือนจากที่ทำงานเดิม
• ข้อมูลอ่อนไหว เช่น ผลตรวจสุขภาพ ประวัติอาชญากรรม ศาสนา หมู่เลือด
• ข้อมูลจากบุคคลอ้างอิง (Reference Check) ซึ่งเป็นข้อมูลของบุคคลที่สาม ไม่ใช่ตัวผู้สมัครเอง

ธุรกิจ SME จำนวนมากมองข้ามข้อมูลกลุ่มที่สามคือข้อมูลบุคคลอ้างอิง เพราะเข้าใจผิดว่าขอความยินยอมจากผู้สมัครแล้วครอบคลุมถึงบุคคลที่สามด้วย ทั้งที่ในทางปฏิบัติควรแจ้งผู้สมัครให้แจ้งบุคคลอ้างอิงล่วงหน้าว่าจะถูกติดต่อ และควรมีข้อความสั้น ๆ ในแบบฟอร์มระบุเรื่องนี้ไว้ให้ชัดเจน

ขั้นตอนเริ่มต้นทำ PDPA สำหรับ HR และ Recruitment แบบ SME

สำหรับ SME ที่มีทีม HR เพียง 1-2 คนหรือเจ้าของกิจการทำหน้าที่คัดเลือกพนักงานเอง การเริ่มต้นไม่จำเป็นต้องมีระบบใหญ่โต แต่ควรทำตามลำดับต่อไปนี้เพื่อให้ครอบคลุมความเสี่ยงหลัก

ขั้นตอนที่ 1: ทำประกาศความเป็นส่วนตัวสำหรับผู้สมัครงาน (Recruitment Privacy Notice)

เอกสารนี้ไม่จำเป็นต้องยาวหรือใช้ภาษากฎหมาย ขอเพียงระบุว่าองค์กรเก็บข้อมูลอะไรบ้าง เก็บไปเพื่ออะไร เก็บนานแค่ไหน และผู้สมัครติดต่อใครได้หากต้องการลบข้อมูล ควรแสดงลิงก์นี้ไว้บนหน้าฟอร์มสมัครงานบนเว็บไซต์ หรือแนบไปกับอีเมลตอบรับใบสมัคร

ขั้นตอนที่ 2: กำหนดระยะเวลาเก็บและลบข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก

SME จำนวนมากเก็บไฟล์ผู้สมัครไว้ถาวรเพราะเผื่อเรียกกลับมาสัมภาษณ์ในอนาคต แนวทางที่ปลอดภัยกว่าคือกำหนดระยะเวลาที่ชัดเจน เช่น 6-12 เดือนหลังปิดรับสมัคร แล้วลบหรือทำลายไฟล์ หากต้องการเก็บไว้นานกว่านั้นควรขอความยินยอมเพิ่มเติมจากผู้สมัครเป็นการเฉพาะ

ขั้นตอนที่ 3: จำกัดสิทธิ์การเข้าถึงโฟลเดอร์ใบสมัครงาน

โฟลเดอร์ที่เก็บใบสมัครไม่ควรเปิดให้ทุกคนในบริษัทเข้าถึง ควรจำกัดเฉพาะผู้ที่มีหน้าที่เกี่ยวข้องกับการคัดเลือกโดยตรง และปิดลิงก์แชร์แบบเปิดสาธารณะ (Anyone with the link) ทันที

ขั้นตอนที่ 4: วางขั้นตอนขอข้อมูลอ่อนไหวแยกต่างหาก

หากตำแหน่งงานจำเป็นต้องตรวจประวัติอาชญากรรมหรือผลตรวจสุขภาพ เช่น พนักงานขับรถหรือพนักงานที่ต้องสัมผัสอาหาร ควรขอความยินยอมเป็นแบบฟอร์มแยกต่างหากจากใบสมัครทั่วไป และระบุเหตุผลความจำเป็นของตำแหน่งงานนั้นให้ชัด

ฐานทางกฎหมายที่ใช้ได้ในงาน Recruitment: ความยินยอม กับ ความจำเป็นก่อนทำสัญญา

SME จำนวนมากเข้าใจว่าต้องขอความยินยอมจากผู้สมัครทุกกรณี แต่ในทางปฏิบัติ PDPA เปิดให้ใช้ฐานทางกฎหมายที่เรียกว่า ความจำเป็นเพื่อการเข้าทำสัญญา (Necessary for Pre-contractual Steps) กับข้อมูลทั่วไปที่ใช้ประกอบการพิจารณาคัดเลือก เช่น ชื่อ ประวัติการทำงาน วุฒิการศึกษา เพราะข้อมูลเหล่านี้จำเป็นต่อการตัดสินใจว่าจะจ้างงานหรือไม่ ไม่ต้องขอความยินยอมแยกต่างหาก แต่ยังต้องแจ้งวัตถุประสงค์ผ่านประกาศความเป็นส่วนตัวอยู่ดี

ในทางกลับกัน ข้อมูลอ่อนไหวอย่างผลตรวจสุขภาพ ประวัติอาชญากรรม หรือศาสนา ไม่สามารถใช้ฐานความจำเป็นก่อนทำสัญญาได้ ต้องขอความยินยอมโดยชัดแจ้งเสมอ และต้องระบุเหตุผลว่าทำไมตำแหน่งงานนั้นจึงจำเป็นต้องใช้ข้อมูลนี้ เช่น ตำแหน่งพนักงานขับรถส่งของจำเป็นต้องตรวจประวัติการทำผิดกฎจราจรร้ายแรง แต่ตำแหน่งพนักงานบัญชีไม่จำเป็นต้องขอข้อมูลนี้ การแยกแยะสองฐานนี้ให้ถูกต้องช่วยลด Friction ในกระบวนการสมัครงาน เพราะไม่ต้องให้ผู้สมัครกดยินยอมทุกช่องโดยไม่จำเป็น

ตัวอย่างสถานการณ์ที่ SME พบบ่อยในการรับสมัครงานผ่านเว็บไซต์

ร้านค้าปลีกขนาด 20 คนแห่งหนึ่งเปิดฟอร์มสมัครงานบนเว็บไซต์ โดยฟอร์มมีช่องกรอกเลขบัตรประชาชน ศาสนา และหมู่เลือด ตั้งแต่ขั้นตอนแรกของการสมัคร ทั้งที่ตำแหน่งที่เปิดรับเป็นพนักงานขายหน้าร้านทั่วไปซึ่งไม่จำเป็นต้องใช้ข้อมูลเหล่านี้เลย เมื่อผู้สมัครรายหนึ่งท้วงติงผ่านอีเมลว่าทำไมต้องกรอกข้อมูลศาสนา เจ้าของร้านจึงตระหนักว่าฟอร์มที่ใช้มาหลายปีนั้นคัดลอกมาจากแบบฟอร์มราชการเก่าโดยไม่ได้ปรับให้เหมาะกับตำแหน่งงานจริง กรณีนี้สะท้อนปัญหาที่พบบ่อยในธุรกิจ SME คือฟอร์มสมัครงานที่ใช้ต่อกันมานานเกินความจำเป็นของตำแหน่งงานปัจจุบัน

อีกกรณีหนึ่งคือธุรกิจร้านอาหารที่จ้างพนักงานผ่านเอเจนซี่จัดหางาน แล้วได้รับไฟล์ Excel รายชื่อผู้สมัครพร้อมเบอร์โทรและที่อยู่จากเอเจนซี่โดยตรง เจ้าของร้านไม่เคยตรวจสอบว่าเอเจนซี่ได้แจ้งผู้สมัครหรือขอความยินยอมให้ส่งข้อมูลต่อมาที่ร้านหรือไม่ กรณีนี้ SME ควรมีข้อตกลงเป็นลายลักษณ์อักษรกับเอเจนซี่จัดหางานว่าใครเป็นผู้รับผิดชอบแจ้งวัตถุประสงค์และขอความยินยอมจากผู้สมัคร เพื่อไม่ให้เกิดช่องว่างความรับผิดชอบระหว่างสองฝ่าย

ขั้นตอนที่ 5: ทบทวนฟอร์มสมัครงานให้ตรงกับตำแหน่งงานจริง

ก่อนเปิดรับสมัครงานทุกรอบ ควรทบทวนว่าฟอร์มสมัครงานที่ใช้ขอข้อมูลเกินความจำเป็นของตำแหน่งนั้นหรือไม่ หากตำแหน่งงานไม่จำเป็นต้องใช้ข้อมูลอ่อนไหว ควรตัดช่องกรอกเหล่านั้นออกจากฟอร์มทั่วไป แล้วเก็บไว้เป็นแบบฟอร์มแยกสำหรับตำแหน่งที่จำเป็นจริง ๆ เท่านั้น

ขั้นตอนที่ 6: ทำข้อตกลงกับเอเจนซี่จัดหางานหรือแพลตฟอร์มภายนอก

หาก SME ใช้บริการเอเจนซี่จัดหางานหรือแพลตฟอร์มหางานภายนอก ควรมีข้อตกลงระบุชัดว่าฝ่ายใดมีหน้าที่แจ้งวัตถุประสงค์และขอความยินยอมจากผู้สมัคร และเมื่อข้อมูลถูกส่งต่อมาที่บริษัทแล้ว บริษัทต้องปฏิบัติตามขั้นตอนเก็บรักษาและลบข้อมูลเช่นเดียวกับผู้สมัครที่ยื่นตรงผ่านเว็บไซต์ของตนเอง

เอกสารและ Evidence ที่ SME ควรเก็บไว้

เมื่อถูกตรวจสอบหรือมีข้อร้องเรียน สิ่งที่พิสูจน์ว่าองค์กรทำตามขั้นตอนจริงคือหลักฐาน ไม่ใช่คำพูด SME ควรจัดเก็บเอกสารต่อไปนี้ไว้เป็นระบบ แม้จะเป็นเพียงโฟลเดอร์ในคอมพิวเตอร์ก็ตาม

ทีมขนาดเล็กสามารถเริ่มจากสเปรดชีตง่าย ๆ บันทึกวันที่รับใบสมัคร วันที่แจ้งผล และวันที่ลบไฟล์ โดยไม่ต้องลงทุนซื้อระบบ HR ราคาแพง หากในอนาคตธุรกิจขยายทีมงาน ค่อยพิจารณาใช้ระบบจัดการผู้สมัครงาน (ATS) ที่มีฟีเจอร์ตั้งเวลาลบข้อมูลอัตโนมัติ

ข้อผิดพลาดที่พบบ่อยเมื่อ SME ทำ PDPA ด้าน HR และ Recruitment

• เก็บไฟล์ใบสมัครไว้ถาวรโดยไม่มีกำหนดลบ แม้ผู้สมัครไม่ผ่านการคัดเลือกไปแล้วหลายปี
• แชร์โฟลเดอร์ใบสมัครแบบเปิดลิงก์สาธารณะให้ทุกคนในบริษัทเข้าถึงได้
• ขอสำเนาบัตรประชาชนและข้อมูลอ่อนไหวตั้งแต่ขั้นตอนสมัครงานทั้งที่ยังไม่ได้เรียกสัมภาษณ์
• ติดต่อบุคคลอ้างอิงโดยไม่แจ้งผู้สมัครล่วงหน้าว่าจะมีการติดต่อ
• ไม่มีประกาศความเป็นส่วนตัวสำหรับผู้สมัครงานแยกจากประกาศความเป็นส่วนตัวของลูกค้า

ข้อผิดพลาดเหล่านี้ไม่ได้เกิดจากความตั้งใจ แต่เกิดจากขั้นตอนสมัครงานที่ใช้ต่อกันมานานโดยไม่เคยทบทวน การแก้ไขจึงเริ่มจากการตรวจสอบขั้นตอนปัจจุบันก่อนว่ามีจุดใดตรงกับรายการข้างต้นบ้าง แล้วค่อยปรับทีละจุด

เชื่อมโยงกับเนื้อหาอื่นในกลุ่ม PDPA สำหรับ HR และ Recruitment

คู่มือนี้เป็นจุดเริ่มต้นของกลุ่มเนื้อหา PDPA สำหรับ HR และ Recruitment สำหรับเจ้าของกิจการและผู้ดูแลเว็บไซต์ SME หากต้องการขั้นตอนปฏิบัติแบบละเอียด อ่านต่อได้ที่ วิธีทำ PDPA สำหรับ HR และ Recruitment ทีละขั้นตอน หรือใช้ เช็กลิสต์ PDPA สำหรับ HR และ Recruitment เพื่อตรวจสอบด่วนก่อนเปิดรับสมัครงานรอบใหม่ นอกจากนี้ยังสามารถดูภาพรวมของเสาหลักด้านธุรกิจและ SEO ทั้งหมดได้ที่ ศูนย์ความรู้ Business, Industry & SEO

สรุป: PDPA สำหรับ HR และ Recruitment ที่ SME ทำได้จริง

สำหรับ SME การทำ PDPA ในงาน HR และ Recruitment ไม่จำเป็นต้องมีทีมกฎหมายหรือระบบราคาแพง สิ่งที่จำเป็นที่สุดคือประกาศความเป็นส่วนตัวที่ผู้สมัครอ่านแล้วเข้าใจ การกำหนดระยะเวลาเก็บและลบข้อมูลที่ชัดเจน การจำกัดสิทธิ์เข้าถึงโฟลเดอร์ข้อมูล และการแยกขั้นตอนขอข้อมูลอ่อนไหวออกจากใบสมัครทั่วไป เมื่อทำครบทั้งสี่จุดนี้แล้ว ธุรกิจจะมีหลักฐานพร้อมชี้แจงได้ทันทีหากมีข้อสงสัยจากผู้สมัครงานหรือหน่วยงานกำกับดูแล

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นข้อมูลเพื่อการศึกษาเบื้องต้น ไม่ใช่คำแนะนำทางกฎหมาย ธุรกิจที่มีความเสี่ยงสูงหรือประมวลผลข้อมูลอ่อนไหวจำนวนมากควรปรึกษาที่ปรึกษากฎหมายเฉพาะด้านเพิ่มเติม