Consent Logs คืออะไร คู่มือสำหรับฝ่าย HR เว็บไซต์สมัครงาน และ Recruitment

ผู้สมัครงานคนหนึ่งอัปโหลดเรซูเม่ผ่านหน้า Career Site ของบริษัท กรอกเบอร์โทร ที่อยู่ และประวัติการทำงาน ระบบ ATS (Applicant Tracking System) ดึงข้อมูลนั้นเข้าไปเก็บอัตโนมัติ พร้อมกับที่หน้าเว็บมี Pixel ของแพลตฟอร์มโฆษณายิงทำงานอยู่เบื้องหลังเพื่อวัดผลแคมเปญประกาศงาน คำถามที่ทีม HR และผู้ดูแลเว็บสมัครงานมักตอบไม่ได้คือ ผู้สมัครยินยอมกับการเก็บข้อมูลใบสมัครและการยิง Pixel เหล่านี้เมื่อใด บนหน้าตาเว็บแบบไหน

เว็บไซต์สมัครงานมีความซับซ้อนเรื่องความยินยอมมากกว่าเว็บทั่วไป เพราะมีทั้งความยินยอมต่อคุกกี้บนหน้าเว็บ และความยินยอมต่อการประมวลผลข้อมูลส่วนบุคคลในใบสมัครซึ่งเป็นคนละชั้นกัน คู่มือนี้อธิบายภาพรวมของ Consent Log ที่ฝ่าย HR และผู้ดูแลเว็บไซต์สมัครงานควรรู้ ตั้งแต่ข้อมูลที่เก็บจริง คุกกี้ที่เกี่ยวข้อง ไปจนถึงการเก็บและลบข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก

Consent Log คืออะไร

คำว่า Consent ในที่นี้หมายถึงความยินยอมของผู้ใช้ ส่วน Log หมายถึงบันทึกเหตุการณ์ตามลำดับเวลา เมื่อรวมกันแล้ว Consent Log จึงหมายถึงบันทึกเหตุการณ์ความยินยอมของผู้ใช้แต่ละครั้งอย่างเป็นระบบ ไม่ใช่แค่ตัวเลขสรุปว่ามีคนกด Accept กี่คน

Consent Log คือบันทึกหลักฐานว่าผู้ใช้กดยินยอมหรือปฏิเสธอะไร เมื่อใด บนข้อความ Policy หรือ Banner เวอร์ชันไหน สำหรับเว็บสมัครงาน Consent Log ที่ครบถ้วนควรครอบคลุมสองส่วน คือ Consent ต่อคุกกี้และ Tracking บนหน้าเว็บ กับความยินยอมต่อการเก็บและใช้ข้อมูลในใบสมัครงาน ซึ่งมักเกิดที่จุดกดปุ่มส่งใบสมัครหรือติ๊กช่องยอมรับเงื่อนไขการประมวลผลข้อมูล

ข้อมูลอะไรบ้างที่เว็บสมัครงานเก็บและต้องมี Consent กำกับ

หน้าสมัครงานมักเก็บข้อมูลหลายชั้นมากกว่าที่คิด เช่น ชื่อ ที่อยู่ เบอร์โทร อีเมล ประวัติการศึกษา ประวัติการทำงาน เงินเดือนที่คาดหวัง ไฟล์เรซูเม่ และบางแห่งอาจมีคำถามเกี่ยวกับสถานะสุขภาพหรือประวัติอาชญากรรมสำหรับตำแหน่งเฉพาะ ข้อมูลกลุ่มหลังนี้จัดอยู่ในกลุ่มข้อมูลอ่อนไหวที่ต้องพิจารณาความเสี่ยงเพิ่มเติมและควรให้ฝ่ายกฎหมายหรือ DPO ตรวจสอบแนวทางเก็บข้อมูลก่อนเปิดใช้ฟอร์ม

นอกจากข้อมูลในฟอร์มแล้ว ระบบ ATS มักเชื่อมต่อกับอีเมลระบบแจ้งเตือน ปฏิทินนัดสัมภาษณ์ และบางครั้งเชื่อมกับระบบตรวจสอบประวัติภายนอก จุดเหล่านี้ล้วนเป็นการประมวลผลข้อมูลผู้สมัครที่ควรมีการแจ้งวัตถุประสงค์ให้ผู้สมัครทราบตั้งแต่หน้าฟอร์ม

คุกกี้และ Tracking บนหน้าสมัครงาน

ATS และปลั๊กอินฟอร์มสมัครงาน

หลาย ATS ฝังสคริปต์ของตัวเองไว้ในหน้า Career Site เพื่อบันทึกพฤติกรรมการกรอกฟอร์มหรือวัดอัตราการกรอกไม่สำเร็จ สคริปต์เหล่านี้ควรถูกจัดหมวดคุกกี้ตามลักษณะการทำงานจริง เช่น หากใช้เพื่อให้ฟอร์มทำงานได้อาจจัดเป็น Functional แต่หากใช้วิเคราะห์พฤติกรรมผู้สมัครควรจัดเป็น Analytics และรอความยินยอมก่อนทำงาน

Job Board Embed จากบุคคลที่สาม

เว็บสมัครงานจำนวนมากฝัง Widget จากแพลตฟอร์มหางาน เช่น LinkedIn หรือ JobsDB เพื่อแสดงตำแหน่งงานหรือให้สมัครผ่านโปรไฟล์ที่มีอยู่แล้ว Widget เหล่านี้มักตั้งคุกกี้ของบุคคลที่สามทันทีที่โหลดหน้า โดยไม่รอ Consent หากไม่ได้ตรวจสอบ ควรทดสอบแยกว่า Embed แต่ละตัวเริ่มทำงานก่อนหรือหลังผู้ใช้กด Accept

Consent ก่อนสมัครงาน กับหลังสมัครงาน ต่างกันอย่างไร

ความยินยอมต่อคุกกี้บนหน้าเว็บเกิดขึ้นตั้งแต่ผู้ใช้เข้าหน้า Career Site ครั้งแรก ส่วนความยินยอมต่อการประมวลผลข้อมูลใบสมัครมักเกิดที่จุดกดส่งใบสมัคร สองจุดนี้ควรมี Consent Log แยกกันแต่เชื่อมโยงกันได้ผ่าน Session หรือ Consent ID เดียวกัน เพื่อให้เมื่อผู้สมัครสอบถามภายหลังว่าเคยยินยอมอะไรบ้าง ทีมงานตอบได้ครบทั้งสองชั้น

การเก็บและลบข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก

ผู้สมัครที่ไม่ผ่านการคัดเลือกมักถูกมองข้ามในกระบวนการจัดการ Consent เพราะทีม HR โฟกัสที่ผู้สมัครที่ผ่านเข้ารอบ แต่ข้อมูลของผู้สมัครกลุ่มนี้ยังคงอยู่ในระบบ ATS และมักไม่มีใครทบทวนว่าจะเก็บไว้นานเท่าใดหรือจะแจ้งผู้สมัครอย่างไรหากต้องการให้ลบข้อมูล ฝ่าย HR ควรกำหนดระยะเวลาเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกร่วมกับฝ่ายกฎหมาย และบันทึกไว้ใน Consent Log ว่าผู้สมัครแต่ละรายเคยได้รับแจ้งเงื่อนไขนี้หรือไม่

โครงสร้าง Consent Log ที่เหมาะกับเว็บสมัครงาน

Consent Log ของเว็บสมัครงานที่ใช้งานได้จริงควรมีอย่างน้อย Consent ID, Timestamp, ประเภทความยินยอม (คุกกี้ หรือ ข้อมูลใบสมัคร), เวอร์ชันข้อความที่ผู้สมัครเห็น, หมวดที่ยินยอม และตำแหน่งงานที่สมัคร เพื่อให้เมื่อมีการตรวจสอบย้อนหลังสามารถโยงกลับไปยังใบสมัครที่เกี่ยวข้องได้ตรงจุด

คำถามที่พบบ่อย

ต้องขอ Consent แยกกันระหว่างคุกกี้กับข้อมูลใบสมัครหรือไม่

ควรแยกให้ชัดเจน เพราะเป็นการยินยอมคนละวัตถุประสงค์ คุกกี้เกี่ยวกับการทำงานของหน้าเว็บและการวัดผล ส่วนข้อมูลใบสมัครเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลเพื่อการสรรหาบุคลากร การแยกให้ชัดยังช่วยให้ผู้สมัครเข้าใจว่ากำลังยินยอมกับเรื่องใดในแต่ละจุด

Job Board Embed อย่าง LinkedIn หรือ JobsDB นับเป็นความรับผิดชอบของเว็บสมัครงานหรือไม่

เว็บไซต์ที่ฝัง Widget เหล่านี้ยังคงมีหน้าที่ตรวจสอบว่าคุกกี้ของบุคคลที่สามทำงานหลังผู้ใช้ยินยอมหรือไม่ แม้ตัว Widget จะดำเนินการโดยผู้ให้บริการภายนอกก็ตาม เพราะจากมุมมองผู้ใช้ ปัญหานี้เกิดขึ้นบนหน้าเว็บของบริษัทเอง

ข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกควรเก็บไว้นานเท่าใด

ควรกำหนดระยะเวลาเก็บร่วมกับฝ่ายกฎหมายตามลักษณะธุรกิจ แล้วแจ้งเงื่อนไขนี้ให้ผู้สมัครทราบตั้งแต่ในฟอร์มสมัครงาน ไม่ควรปล่อยให้ข้อมูลค้างในระบบ ATS โดยไม่มีกำหนด เพราะจะกลายเป็นความเสี่ยงสะสมที่ไม่มีใครทบทวน

Consent Log ของเว็บสมัครงานควรมีข้อมูลอะไรบ้าง

ควรมี Consent ID, Timestamp, ประเภทความยินยอม เวอร์ชันข้อความที่ผู้สมัครเห็น หมวดที่ยินยอม และตำแหน่งงานที่สมัคร เพื่อให้โยงกลับไปยังใบสมัครที่เกี่ยวข้องได้เมื่อจำเป็น โครงสร้างนี้ช่วยให้ทีม HR ตอบคำถามผู้สมัครหรือผู้ตรวจสอบได้รวดเร็วขึ้น

บทบาทของทีมไอทีกับทีม HR ในการดูแล Consent Log ร่วมกัน

เว็บไซต์สมัครงานมักอยู่ภายใต้การดูแลของทีมไอทีหรือเอเจนซีที่รับพัฒนาเว็บ ในขณะที่เนื้อหาฟอร์มและกระบวนการคัดเลือกอยู่ในความรับผิดชอบของฝ่าย HR หากสองทีมนี้ไม่ประสานกัน การเปลี่ยนแปลงฝั่งใดฝั่งหนึ่งอาจกระทบ Consent Log โดยไม่มีใครรู้ตัว เช่น ทีมไอทีเปลี่ยนปลั๊กอินฟอร์มใหม่โดยไม่แจ้ง HR ว่าโครงสร้างข้อมูลเปลี่ยนไป หรือ HR เพิ่มคำถามใหม่ในฟอร์มโดยไม่แจ้งทีมไอทีว่าต้องปรับ Consent Log ให้ครอบคลุมคำถามนั้นด้วย

แนวทางที่ช่วยลดปัญหานี้คือกำหนดจุดติดต่อประจำระหว่างสองทีม และทุกครั้งที่มีการเปลี่ยนแปลงฟอร์มสมัครงานหรือระบบ ATS ให้มีขั้นตอนแจ้งอีกฝ่ายเสมอ พร้อมทั้งทดสอบ Consent Log ร่วมกันก่อนเปิดใช้งานจริง ไม่ใช่ต่างคนต่างทำแล้วมาพบปัญหาทีหลัง

เมื่อบริษัทใช้เอเจนซีจัดหางานหรือ Third-party Recruiter

บางองค์กรใช้บริการเอเจนซีจัดหางานภายนอกในการคัดกรองผู้สมัครเบื้องต้นก่อนส่งต่อข้อมูลให้บริษัท ในกรณีนี้ควรตรวจสอบว่าเอเจนซีที่รับข้อมูลผู้สมัครมีการแจ้งวัตถุประสงค์และขอความยินยอมจากผู้สมัครอย่างเหมาะสมก่อนส่งข้อมูลต่อมาให้บริษัทหรือไม่ และ Consent Log ของบริษัทควรมีช่องบันทึกว่าใบสมัครใดมาจากเอเจนซีภายนอกรายใด เพื่อให้ตรวจสอบย้อนกลับได้หากมีข้อสงสัยเรื่องแหล่งที่มาของข้อมูล

เช็กลิสต์ปฏิบัติ

• แยก Consent Log ของคุกกี้บนหน้าเว็บออกจากความยินยอมต่อการประมวลผลข้อมูลใบสมัคร แต่เชื่อมโยงกันด้วย Consent ID เดียวกันได้
• ตรวจสอบว่า ATS และปลั๊กอินฟอร์มสมัครงานยิง Tracking ก่อนหรือหลังผู้ใช้กด Accept
• ทดสอบ Job Board Embed อย่าง LinkedIn และ JobsDB แยกทีละตัวว่าเริ่มทำงานเมื่อใด
• กำหนดระยะเวลาเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกร่วมกับฝ่ายกฎหมาย และแจ้งผู้สมัครในฟอร์ม
• เพิ่มฟิลด์ตำแหน่งงานที่สมัครลงใน Consent Log เพื่อโยงกลับไปยังใบสมัครที่เกี่ยวข้องได้
• ให้ฝ่ายกฎหมายหรือ DPO ตรวจคำถามที่เกี่ยวข้องกับข้อมูลอ่อนไหว เช่น สุขภาพหรือประวัติอาชญากรรม ก่อนเปิดใช้ฟอร์ม

ข้อผิดพลาดที่พบบ่อย

• มองว่า Consent Log ของเว็บสมัครงานเหมือนเว็บทั่วไป โดยไม่แยกความยินยอมต่อข้อมูลใบสมัครออกจากคุกกี้
• ไม่ตรวจสอบว่า Job Board Embed ตั้งคุกกี้ของบุคคลที่สามก่อนผู้ใช้กดยอมรับหรือไม่
• ไม่มีนโยบายเก็บและลบข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก ปล่อยให้ข้อมูลค้างอยู่ในระบบ ATS ไม่มีกำหนด
• เพิ่มคำถามเกี่ยวกับข้อมูลอ่อนไหวในฟอร์มโดยไม่ให้ฝ่ายกฎหมายตรวจสอบก่อน

เตรียมทีมสรรหาบุคลากรให้พร้อมรับคำถามจากผู้สมัคร

ผู้สมัครยุคนี้เริ่มถามคำถามเรื่องข้อมูลส่วนบุคคลมากขึ้น เช่น ข้อมูลของตนจะถูกเก็บไว้นานเท่าใด หรือส่งต่อให้บุคคลที่สามหรือไม่ ทีมสรรหาบุคลากรที่อยู่หน้างานควรมีคำตอบมาตรฐานสำหรับคำถามเหล่านี้ โดยประสานกับฝ่ายกฎหมายล่วงหน้าว่าคำตอบใดตอบได้ทันที และคำถามใดต้องส่งต่อให้ผู้เชี่ยวชาญตอบแทน การมีแนวทางตอบคำถามที่ชัดเจนช่วยลดความสับสนเมื่อผู้สมัครติดต่อเข้ามาโดยตรง

ทีม HR ควรได้รับการอบรมพื้นฐานเรื่องการอ่าน Consent Log อย่างน้อยพอให้ตอบได้ว่าจะขอดูหรือขอให้ลบข้อมูลของตนได้อย่างไร ไม่จำเป็นต้องเข้าใจรายละเอียดเชิงเทคนิคทั้งหมด แต่ควรรู้ว่าต้องประสานกับใครเมื่อมีคำขอลักษณะนี้เข้ามา

สรุป

Consent Log ของเว็บสมัครงานต้องครอบคลุมทั้งคุกกี้บนหน้าเว็บและความยินยอมต่อการประมวลผลข้อมูลใบสมัคร โดยแยกให้ชัดแต่เชื่อมโยงกันได้ ฝ่าย HR ควรทำงานร่วมกับผู้ดูแลเว็บและฝ่ายกฎหมายเพื่อตรวจ ATS, Job Board Embed และนโยบายเก็บ-ลบข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกอย่างสม่ำเสมอ

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)
• คู่มือ Cookie Consent ฉบับรวมของ trusty
• แนวทางจัดทำ Privacy Policy สำหรับเว็บไซต์สมัครงาน