วิธีวางระบบ PDPA สำหรับ HR และ Recruitment สำหรับเว็บไซต์ธุรกิจทั่วไปและ SMEแบบเป็นขั้นตอน

คุณส้มเปิดร้านขายเสื้อผ้าออนไลน์มา 3 ปี มีพนักงาน 6 คน และเพิ่งตัดสินใจเปิดตำแหน่งแอดมินเพจใหม่เป็นครั้งแรก เธอทำฟอร์มสมัครงานขึ้นบนเว็บไซต์ร้านเองแบบง่าย ๆ โดยก็อปฟอร์มติดต่อสอบถามลูกค้ามาแก้ชื่อฟิลด์ แล้วเพิ่มช่องแนบเรซูเม่กับช่องกรอกเลขบัตรประชาชนเข้าไป ผ่านไปสองสัปดาห์มีคนสมัครเข้ามา 40 กว่าคน เธอเก็บไฟล์เรซูเม่ทั้งหมดไว้ในโฟลเดอร์ Google Drive ที่แชร์ลิงก์แบบเปิดให้ใครก็เข้าถึงได้ และไม่เคยลบเรซูเม่ของคนที่ไม่ผ่านการคัดเลือกเลยแม้แต่คนเดียว จนกระทั่งมีผู้สมัครรายหนึ่งอีเมลมาถามว่าเก็บข้อมูลของเขาไว้ทำอะไรและจะลบให้ได้เมื่อไร คุณส้มถึงเริ่มมองหาวิธีวางระบบ PDPA สำหรับงาน HR และ Recruitment ให้ถูกต้องตั้งแต่ต้น

ภาพรวม 7 ขั้นตอนวางระบบ PDPA สำหรับ HR และ Recruitment บนเว็บไซต์ SME

สถานการณ์แบบคุณส้มเกิดขึ้นกับ SME จำนวนมากที่เพิ่งเริ่มเปิดรับสมัครงานผ่านเว็บไซต์ของตัวเอง วิธีแก้ไม่ต้องเริ่มจากศูนย์หรือจ้างที่ปรึกษากฎหมาย แต่ทำตามลำดับ 7 ขั้นตอนต่อไปนี้ได้ด้วยทีมงานเล็ก ๆ เอง

ขั้นตอนที่ 1: สำรวจข้อมูลที่ฟอร์มสมัครงานเก็บอยู่ตอนนี้

เริ่มจากไล่ดูฟอร์มสมัครงานทีละช่องว่าเก็บข้อมูลอะไรบ้าง แยกเป็นสองกลุ่ม คือข้อมูลส่วนบุคคลทั่วไป เช่น ชื่อ เบอร์โทร อีเมล วุฒิการศึกษา และข้อมูลอ่อนไหว เช่น เลขบัตรประชาชนแบบเต็ม ศาสนา หมู่เลือด หรือประวัติสุขภาพ ขั้นตอนนี้ใช้เวลาไม่นานแต่สำคัญมาก เพราะเป็นฐานของขั้นตอนถัดไปทั้งหมด กรณีคุณส้มพบว่าฟอร์มเก็บเลขบัตรประชาชนแบบเต็มโดยไม่จำเป็น เพราะตำแหน่งแอดมินเพจไม่ได้ต้องใช้ข้อมูลนี้ตั้งแต่ขั้นตอนสมัคร

ขั้นตอนที่ 2: ตัดข้อมูลอ่อนไหวที่ไม่จำเป็นออกจากฟอร์ม

จากรายการในขั้นตอนที่ 1 ให้ตัดช่องที่ไม่จำเป็นต่อการพิจารณาตำแหน่งงานออกทันที เช่น ศาสนา หมู่เลือด หรือเลขบัตรประชาชนแบบเต็ม (เก็บแค่ 4 ตัวท้ายพอสำหรับยืนยันตัวตนเบื้องต้นก็เพียงพอในขั้นตอนสมัคร) ตำแหน่งที่จำเป็นต้องใช้ข้อมูลอ่อนไหวจริง เช่น งานที่ต้องขับรถและต้องตรวจประวัติอาชญากรรม ให้แยกขอความยินยอมเฉพาะในขั้นตอนสัมภาษณ์หรือขั้นตอนก่อนเซ็นสัญญาจ้าง ไม่ใช่ขอตั้งแต่ฟอร์มสมัครงานทั่วไป

ขั้นตอนที่ 3: ออกแบบข้อความขอความยินยอมแยกจากเงื่อนไขทั่วไป

เพิ่มช่องติ๊กยืนยันความยินยอมที่แยกออกมาให้ชัดเจน ไม่รวมกับข้อความ "ยอมรับเงื่อนไขการใช้งานเว็บไซต์" ทั่วไป ข้อความควรสั้น เข้าใจง่าย และบอกวัตถุประสงค์ตรง ๆ เช่น "ข้าพเจ้ายินยอมให้บริษัทใช้ข้อมูลนี้เพื่อพิจารณาคัดเลือกเข้าทำงานในตำแหน่งที่สมัคร" ปุ่มส่งใบสมัครควรถูกตั้งค่าให้กดไม่ได้จนกว่าจะติ๊กยืนยันช่องนี้ก่อน

ขั้นตอนที่ 4: เขียนประกาศความเป็นส่วนตัวสำหรับผู้สมัครงานโดยเฉพาะ

ทำหน้าประกาศความเป็นส่วนตัวแยกสำหรับผู้สมัครงาน ไม่ใช้ประกาศเดียวกับลูกค้าทั่วไป เนื้อหาควรระบุอย่างน้อย 4 เรื่อง คือ เก็บข้อมูลอะไรบ้าง เก็บไปเพื่อวัตถุประสงค์ใด เก็บไว้นานเท่าไรและใครเข้าถึงได้ และผู้สมัครติดต่อขอลบหรือสอบถามข้อมูลของตัวเองได้ทางช่องทางใด ใส่ลิงก์ไปยังหน้านี้ไว้ใกล้ปุ่มส่งใบสมัครให้ผู้สมัครเห็นก่อนกดส่ง

ขั้นตอนที่ 5: ตรวจสอบและทำข้อตกลงกับผู้ให้บริการภายนอก

ถ้าใช้ปลั๊กอิน Job Board ฝังในเว็บไซต์ ใช้ระบบ ATS ของผู้ให้บริการรายอื่น หรือส่งเรซูเม่ต่อให้บริษัทจัดหางานช่วยคัดกรอง ให้ตรวจว่าผู้ให้บริการเหล่านั้นมีข้อตกลงประมวลผลข้อมูลที่ระบุขอบเขตการใช้ข้อมูลชัดเจนหรือไม่ และปรับประกาศความเป็นส่วนตัวให้ระบุชื่อผู้ให้บริการภายนอกเหล่านี้ไว้ด้วย เพื่อให้ผู้สมัครรับทราบว่าข้อมูลอาจถูกส่งต่อไปที่ใดบ้าง

ขั้นตอนที่ 6: จำกัดสิทธิ์การเข้าถึงและกำหนดที่จัดเก็บข้อมูล

ย้ายไฟล์เรซูเม่ออกจากโฟลเดอร์ที่แชร์ลิงก์เปิดสาธารณะ มาเก็บไว้ในโฟลเดอร์ที่จำกัดสิทธิ์เฉพาะฝ่าย HR และผู้มีอำนาจตัดสินใจจ้างงานเท่านั้น ตั้งรหัสผ่านหรือใช้ระบบยืนยันตัวตนสองชั้นถ้าเป็นไปได้ และเลิกส่งเรซูเม่ต่อทางแชทหรืออีเมลส่วนตัวของพนักงาน ให้ใช้ช่องทางกลางที่มีการควบคุมสิทธิ์การเข้าถึงแทน

ขั้นตอนที่ 7: ตั้งรอบทำลายข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก

กำหนดระยะเวลาจัดเก็บที่ชัดเจน เช่น 6 เดือนหลังปิดรับสมัครตำแหน่งนั้น แล้วตั้งปฏิทินเตือนให้ลบไฟล์เรซูเม่ของผู้สมัครที่ไม่ผ่านการคัดเลือกเมื่อครบกำหนด บันทึกทุกครั้งที่ลบว่าลบชุดข้อมูลใดไปเมื่อใด เพื่อใช้เป็นหลักฐานว่ากระบวนการนี้ถูกทำจริงอย่างต่อเนื่อง ไม่ใช่แค่เขียนไว้ในประกาศความเป็นส่วนตัวเฉย ๆ

ขั้นตอน	ผู้รับผิดชอบหลัก	ความถี่ที่ควรทำซ้ำ
1. สำรวจข้อมูลในฟอร์ม	ผู้ดูแลเว็บไซต์	ทุกครั้งที่แก้ไขฟอร์ม
2. ตัดข้อมูลอ่อนไหวที่ไม่จำเป็น	ผู้ดูแลเว็บไซต์ + HR	ทุกครั้งที่เปิดตำแหน่งใหม่
3. ออกแบบข้อความความยินยอม	ผู้ดูแลเว็บไซต์	ครั้งแรกและเมื่อแก้ฟอร์ม
4. เขียนประกาศความเป็นส่วนตัว	เจ้าของกิจการ + HR	ทบทวนทุก 6 เดือน
5. ตรวจข้อตกลงผู้ให้บริการภายนอก	เจ้าของกิจการ	เมื่อเปลี่ยนผู้ให้บริการ
6. จำกัดสิทธิ์เข้าถึงข้อมูล	ผู้ดูแลเว็บไซต์	ตรวจซ้ำทุกไตรมาส
7. ทำลายข้อมูลตามรอบ	ฝ่าย HR	ทุก 6 เดือน

ตัวอย่าง Evidence ที่ควรเก็บไว้ระหว่างวางระบบ

ระหว่างทำตาม 7 ขั้นตอนข้างต้น ควรเก็บหลักฐานไว้ทุกขั้นตอน เช่น ภาพหน้าจอฟอร์มก่อนและหลังตัดช่องข้อมูลอ่อนไหวออก ไฟล์ข้อความขอความยินยอมเวอร์ชันที่ใช้งานจริงพร้อมวันที่เริ่มใช้ สำเนาข้อตกลงประมวลผลข้อมูลกับผู้ให้บริการ Job Board หรือ ATS และบันทึกการลบข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกในแต่ละรอบ เอกสารเหล่านี้ไม่จำเป็นต้องอยู่ในรูปแบบทางการมาก ไฟล์ Spreadsheet ธรรมดาที่บันทึกวันที่และรายละเอียดไว้ก็เพียงพอสำหรับ SME ขนาดเล็ก ตราบใดที่ปรับปรุงให้ตรงกับสิ่งที่ทำจริงอยู่เสมอ

ข้อผิดพลาดที่พบบ่อยเมื่อ SME เริ่มวางระบบ PDPA สำหรับงาน HR

• ก็อปฟอร์มติดต่อสอบถามลูกค้ามาทำฟอร์มสมัครงานโดยไม่ปรับช่องข้อมูลให้เหมาะกับการสรรหา
• เก็บไฟล์เรซูเม่ไว้ในโฟลเดอร์ที่แชร์ลิงก์แบบเปิดสาธารณะ ใครมีลิงก์ก็เข้าถึงได้
• ทำทีละขั้นตอนโดยข้ามขั้นตอนสำรวจข้อมูลในขั้นตอนที่ 1 ไปเลย ทำให้ไม่รู้ว่าจริง ๆ แล้วเก็บข้อมูลอะไรอยู่บ้าง
• เขียนประกาศความเป็นส่วนตัวเสร็จแล้วไม่เคยตั้งรอบทบทวนหรือปรับปรุงอีกเลย
• ส่งเรซูเม่ต่อให้หัวหน้าแผนกทางแชทส่วนตัวแทนที่จะใช้ช่องทางกลางที่ควบคุมสิทธิ์การเข้าถึงได้

การวางระบบ PDPA สำหรับงาน HR ไม่ต้องเริ่มจากเอกสารกฎหมายหนา ๆ แต่เริ่มจากการไล่ดูฟอร์มสมัครงานของตัวเองทีละช่องก่อน

กรณีเว็บไซต์ไม่มีฟอร์มสมัครงานในตัว ใช้ Google Form หรือแชทแทน

SME หลายรายไม่ได้ทำฟอร์มสมัครงานในเว็บไซต์เอง แต่ใช้ Google Form ฝังลิงก์ไว้ หรือให้ผู้สมัครทักแชทเฟซบุ๊กแทน 7 ขั้นตอนข้างต้นยังใช้ได้เหมือนเดิม เพียงปรับรายละเอียดเล็กน้อย เช่น ขั้นตอนที่ 3 เรื่องข้อความความยินยอม ให้เพิ่มเป็นคำถามแรกใน Google Form แทนช่องติ๊กบนเว็บไซต์ ขั้นตอนที่ 4 เรื่องประกาศความเป็นส่วนตัว ให้แนบลิงก์ไว้ในคำอธิบายของฟอร์มหรือข้อความตอบกลับอัตโนมัติในแชท และขั้นตอนที่ 6 เรื่องจำกัดสิทธิ์เข้าถึง ให้ตรวจการตั้งค่าของ Google Form ว่าจำกัดผู้ที่เข้าถึงคำตอบเฉพาะบัญชีที่ได้รับอนุญาตแล้วหรือไม่ เพราะค่าเริ่มต้นบางกรณีอาจเปิดให้ผู้ที่มีลิงก์ดูคำตอบได้ทุกคน ซึ่งเป็นความเสี่ยงที่ SME มักมองข้าม

เมื่อทำครบ 7 ขั้นตอนแล้ว ต้องทำอะไรต่อ

หลังวางระบบครบทั้ง 7 ขั้นตอน สิ่งที่คุณส้มทำต่อคือสร้างเช็กลิสต์สั้น ๆ ไว้ใช้ตรวจซ้ำทุกครั้งที่เปิดตำแหน่งงานใหม่ และตั้งปฏิทินเตือนล่วงหน้าสำหรับรอบทำลายข้อมูลทุก 6 เดือน สิ่งสำคัญที่เธอเรียนรู้จากประสบการณ์นี้คือ ระบบที่ทำไว้ครั้งแรกไม่จำเป็นต้องสมบูรณ์แบบทันที แต่ต้องมีจุดเริ่มต้นที่ชัดเจนและกลับมาปรับปรุงได้เรื่อย ๆ เมื่อกระบวนการสรรหาของธุรกิจเปลี่ยนแปลงไป เช่น เปิดตำแหน่งที่ต้องใช้ข้อมูลอ่อนไหวเพิ่ม หรือเปลี่ยนไปใช้ผู้ให้บริการ Job Board รายใหม่

สรุป

การวางระบบ PDPA สำหรับ HR และ Recruitment บนเว็บไซต์ SME ทำได้จริงด้วยทีมงานขนาดเล็ก โดยไล่ตาม 7 ขั้นตอน ตั้งแต่สำรวจข้อมูลในฟอร์ม ตัดข้อมูลอ่อนไหวที่ไม่จำเป็น ออกแบบข้อความความยินยอม เขียนประกาศความเป็นส่วนตัวเฉพาะผู้สมัครงาน ตรวจข้อตกลงกับผู้ให้บริการภายนอก จำกัดสิทธิ์การเข้าถึงข้อมูล ไปจนถึงตั้งรอบทำลายข้อมูล เมื่อวางระบบเสร็จแล้ว ควรใช้ เช็กลิสต์ PDPA สำหรับ HR และ Recruitment สำหรับ SME ตรวจซ้ำทุกครั้งที่เปิดตำแหน่งใหม่ และติดตาม อัปเดต PDPA สำหรับ HR และ Recruitment ปี 2026 เพื่อไม่ให้ระบบล้าสมัย

แหล่งข้อมูลอ้างอิง

อ้างอิงแนวปฏิบัติจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) และดูภาพรวมหัวข้ออื่นในกลุ่มนี้ได้ที่ หมวดความรู้ Business, Industry & SEO