แนวทางปฏิบัติด้าน PDPA สำหรับหน้าสมัครงานและระบบ ATS ที่ทีม HR นำไปใช้ได้จริง

ฝ่าย HR ของบริษัทค้าปลีกแห่งหนึ่งตัดสินใจปรับปรุงหน้า "ร่วมงานกับเรา" ใหม่ทั้งหมดหลังพบว่าทีมสรรหาใช้เวลาเกือบครึ่งวันในการค้นหาเรซูเม่เก่าที่กระจัดกระจายอยู่ในอีเมลและโฟลเดอร์หลายที่ แทนที่จะแก้ปัญหาด้วยการซื้อระบบ ATS ราคาแพงทันที ทีมเริ่มจากการตั้งคำถามพื้นฐานก่อนว่าฟอร์มสมัครงานเก็บอะไรบ้าง ใครเข้าถึงได้ และข้อมูลไปอยู่ที่ไหนหลังส่งใบสมัคร คำตอบที่ได้กลายเป็นจุดเริ่มต้นของแนวทางปฏิบัติที่ใช้ได้จริงในบทความนี้

บทความนี้รวบรวมแนวทางปฏิบัติด้าน PDPA สำหรับหน้าสมัครงานและระบบ ATS โดยแบ่งตามช่วงของวงจรข้อมูลผู้สมัคร ตั้งแต่ก่อนรับสมัคร ระหว่างพิจารณา จนถึงหลังปิดตำแหน่งงาน เพื่อให้ทีม HR และผู้ดูแลเว็บไซต์สมัครงานนำไปปรับใช้ได้ตามขนาดขององค์กร

ออกแบบฟอร์มสมัครงานให้เก็บเฉพาะข้อมูลที่จำเป็น

ก่อนเปิดฟอร์มสมัครงานใหม่หรือปรับปรุงฟอร์มเดิม ควรทบทวนทุกช่องกรอกว่าจำเป็นต่อการพิจารณาตำแหน่งนั้นจริงหรือไม่ ตำแหน่งงานทั่วไปไม่จำเป็นต้องขอศาสนา หมู่เลือด หรือข้อมูลบิดามารดาโดยละเอียด ส่วนตำแหน่งที่มีข้อกำหนดเฉพาะ เช่น งานขับรถที่ต้องมีใบอนุญาตขับขี่ประเภทเฉพาะ ควรระบุเหตุผลไว้ในฟอร์มว่าทำไมจึงต้องขอข้อมูลนั้น

แนวทางที่ใช้ได้จริงคือให้ทีม HR และหัวหน้าฝ่ายที่เกี่ยวข้องนั่งทบทวนฟอร์มร่วมกันปีละครั้ง เพราะฟอร์มมักถูกเพิ่มช่องกรอกใหม่ตามคำขอเฉพาะกิจของแต่ละแผนกจนสะสมกลายเป็นฟอร์มที่ยาวเกินความจำเป็น

แจ้งวัตถุประสงค์และการส่งต่อข้อมูลตั้งแต่ต้นทาง

ข้อความแจ้งก่อนอัปโหลดเรซูเม่

ก่อนปุ่มอัปโหลดไฟล์เรซูเม่ ควรมีข้อความสั้น ๆ อธิบายว่าเอกสารจะถูกใช้เพื่อพิจารณาตำแหน่งใด เก็บไว้นานเท่าใดโดยประมาณ และมีลิงก์ไปยัง Privacy Policy ฉบับเต็มสำหรับผู้ที่ต้องการอ่านรายละเอียด ข้อความนี้ไม่จำเป็นต้องยาว แต่ต้องอยู่ในตำแหน่งที่ผู้สมัครเห็นก่อนกดส่งจริง ไม่ใช่ซ่อนอยู่ท้ายหน้าที่ต้องเลื่อนหาเอง

แจ้งล่วงหน้าเมื่อมีการตรวจสอบประวัติ

หากตำแหน่งงานต้องมีการตรวจสอบประวัติจากบริษัทภายนอก ควรระบุไว้ในประกาศรับสมัครหรือฟอร์มตั้งแต่ต้น ไม่ใช่แจ้งเฉพาะตอนที่ผ่านรอบสัมภาษณ์แล้ว การแจ้งล่วงหน้าช่วยให้ผู้สมัครตัดสินใจได้ตั้งแต่ต้นว่าจะยินยอมให้ตรวจสอบประวัติในลักษณะนี้หรือไม่

จัดการสิทธิ์เข้าถึงระบบ ATS ตามหลัก Need-to-know

ระบบ ATS ควรตั้งค่าสิทธิ์เข้าถึงให้ผู้จัดการสายงานมองเห็นเฉพาะใบสมัครของตำแหน่งที่ตนเองรับผิดชอบ ไม่ใช่เปิดให้ทุกแผนกมองเห็นข้อมูลผู้สมัครทั้งหมดในระบบ ทีมที่ดูแลระบบควรทบทวนรายชื่อผู้มีสิทธิ์เข้าถึงอย่างน้อยทุกไตรมาส โดยเฉพาะเมื่อมีพนักงานย้ายแผนกหรือลาออก เพื่อตัดสิทธิ์ที่ไม่จำเป็นออกทันที

บทบาท	สิ่งที่ควรเข้าถึงได้	สิ่งที่ไม่ควรเข้าถึง
ผู้จัดการสายงาน	ใบสมัครของตำแหน่งที่ตนเองรับผิดชอบ	ใบสมัครของแผนกอื่นที่ไม่เกี่ยวข้อง
ทีม HR ส่วนกลาง	ภาพรวมทุกตำแหน่งเพื่อการบริหารจัดการ	เอกสารอ่อนไหวที่ไม่จำเป็นต่อการคัดกรองเบื้องต้น
ผู้ให้บริการตรวจสอบประวัติ	ข้อมูลเฉพาะผู้สมัครที่เข้าสู่ขั้นตอนตรวจสอบ	ฐานข้อมูลผู้สมัครทั้งหมดในระบบ

วางระยะเวลาเก็บรักษาเรซูเม่และข้อมูลผู้สมัคร

ควรกำหนดระยะเวลาเก็บรักษาแยกตามสถานะของผู้สมัคร เช่น ผู้ที่ได้รับการว่าจ้างข้อมูลจะถูกโอนเข้าสู่ระบบพนักงาน ส่วนผู้ที่ไม่ผ่านการคัดเลือกควรมีระยะเวลาที่ชัดเจนก่อนลบหรือทำให้ไม่สามารถระบุตัวตนได้ องค์กรบางแห่งเลือกแจ้งผู้สมัครไว้ตั้งแต่ต้นว่าจะเก็บข้อมูลไว้พิจารณาตำแหน่งอื่นในอนาคตเป็นระยะเวลาเท่าใด และเปิดโอกาสให้ผู้สมัครปฏิเสธการเก็บไว้ในลักษณะนี้ได้หากไม่ต้องการ

สิ่งสำคัญคือระยะเวลาที่กำหนดต้องมีการทบทวนจริง ไม่ใช่แค่เขียนไว้ในนโยบายแล้วไม่มีใครดำเนินการลบเมื่อครบกำหนด ทีมที่ดูแลระบบควรตั้งการแจ้งเตือนอัตโนมัติหรือรอบตรวจสอบประจำปีเพื่อให้ขั้นตอนนี้เกิดขึ้นจริง

จัดการข้อมูลผู้แนะนำและโปรแกรม Employee Referral

เมื่อพนักงานแนะนำผู้สมัครผ่านโปรแกรม Referral ทีม HR ควรกำหนดขั้นตอนให้พนักงานแจ้งผู้ถูกแนะนำก่อนส่งข้อมูลติดต่อเข้าระบบ หรืออย่างน้อยที่สุดควรให้ทีม HR ส่งข้อความแนะนำตัวและอธิบายที่มาของข้อมูลก่อนติดต่อครั้งแรก เพื่อให้ผู้ถูกแนะนำรับทราบว่าข้อมูลของตนมาจากไหนและใช้เพื่อวัตถุประสงค์ใด

ตัวอย่างสถานการณ์: พนักงานฝ่ายขายกรอกชื่อและเบอร์โทรของเพื่อนเข้าระบบ Referral โดยยังไม่ได้บอกเพื่อนล่วงหน้า เมื่อ HR โทรติดต่อไปโดยไม่อธิบายที่มา ผู้ถูกแนะนำอาจรู้สึกว่าเบอร์โทรของตนถูกส่งต่อโดยไม่รู้ตัว การให้ HR แนะนำที่มาของข้อมูลตั้งแต่ประโยคแรกของบทสนทนาช่วยลดความกังวลนี้ได้โดยตรง

แยกชั้นการจัดเก็บเอกสารที่มีความอ่อนไหว

ตำแหน่งงานที่ต้องขอใบรับรองแพทย์ ประวัติอาชญากรรม หรือเอกสารที่มีความอ่อนไหวอื่น ๆ ควรจัดเก็บแยกจากใบสมัครทั่วไป พร้อมจำกัดผู้เข้าถึงให้แคบกว่าปกติ เช่น เฉพาะ HR ระดับหัวหน้างานหรือผู้ที่ได้รับมอบหมายโดยตรง แทนที่จะปะปนอยู่ในโฟลเดอร์เดียวกับเรซูเม่ทั่วไปที่พนักงาน HR ทุกคนเข้าถึงได้

วางกระบวนการรับคำขอใช้สิทธิ์จากผู้สมัคร

ควรมีช่องทางที่ชัดเจน เช่น อีเมลกลางของฝ่าย HR ให้ผู้สมัครติดต่อขอเข้าถึง แก้ไข หรือขอให้ลบข้อมูลของตนเองในระบบ พร้อมกำหนดขั้นตอนภายในว่าเมื่อได้รับคำขอแล้วใครเป็นผู้รับผิดชอบตรวจสอบและดำเนินการ การมีกระบวนการที่ชัดเจนช่วยลดความสับสนเมื่อได้รับคำขอจริง และช่วยให้ทีม HR ตอบสนองได้อย่างเป็นระบบแทนที่จะจัดการเป็นรายกรณีโดยไม่มีแนวทางเดียวกัน

มอบหมายเจ้าของระบบและวางแผนส่งต่องาน

ระบบสมัครงานควรมีเจ้าของที่ชัดเจนอย่างน้อยหนึ่งคนในทีม HR ที่รับผิดชอบทบทวนฟอร์ม สิทธิ์เข้าถึง และระยะเวลาเก็บรักษาข้อมูลอย่างต่อเนื่อง เมื่อบุคคลนั้นเปลี่ยนตำแหน่งหรือลาออก ควรมีเอกสารสรุปการตั้งค่าระบบและรายชื่อผู้ให้บริการภายนอกที่เชื่อมต่ออยู่ ส่งต่อให้ผู้รับช่วงดูแลต่อ เพื่อไม่ให้ความรู้เรื่องการตั้งค่าระบบหายไปพร้อมกับตัวบุคคล

องค์กรขนาดกลางถึงใหญ่มักแบ่งบทบาทเจ้าของระบบเป็นสองส่วน คือเจ้าของด้านนโยบาย (ทีม HR หรือ Privacy) ที่กำหนดว่าควรเก็บข้อมูลอะไร นานเท่าใด และเจ้าของด้านเทคนิค (ทีม IT หรือผู้ดูแลระบบ ATS) ที่รับผิดชอบตั้งค่าสิทธิ์เข้าถึงและการลบข้อมูลจริงในระบบ การแบ่งบทบาทให้ชัดเจนช่วยลดปัญหาที่ต่างฝ่ายต่างคิดว่าอีกฝ่ายเป็นผู้รับผิดชอบ

ประสานงานกับ IT และผู้ให้บริการภายนอกอย่างสม่ำเสมอ

หน้าสมัครงานส่วนใหญ่ไม่ได้ทำงานโดยลำพัง แต่เชื่อมต่อกับผู้ให้บริการหลายราย เช่น แพลตฟอร์มประกาศงานภายนอกที่ดึงใบสมัครเข้าระบบอัตโนมัติ ผู้ให้บริการแบบทดสอบทักษะออนไลน์ หรือผู้ให้บริการตรวจสอบประวัติ ทีม HR ควรทำรายการผู้ให้บริการภายนอกทั้งหมดที่มีสิทธิ์เข้าถึงข้อมูลผู้สมัคร พร้อมทบทวนร่วมกับทีม IT อย่างน้อยปีละครั้งว่าผู้ให้บริการรายใดยังใช้งานอยู่จริง และรายใดควรตัดการเชื่อมต่อเพราะเลิกใช้งานไปแล้ว

เมื่อมีการเปลี่ยนผู้ให้บริการ ATS หรือเพิ่มการเชื่อมต่อใหม่ ควรตรวจสอบก่อนว่าผู้ให้บริการรายใหม่มีมาตรการป้องกันข้อมูลที่เหมาะสมและมีข้อตกลงที่ระบุขอบเขตการใช้ข้อมูลผู้สมัครไว้ชัดเจน แทนที่จะเชื่อมต่อระบบก่อนแล้วค่อยตรวจสอบภายหลัง

ทดสอบและทบทวนระบบเป็นระยะ ไม่ใช่ตั้งค่าเพียงครั้งเดียว

แนวทางปฏิบัติที่ดีที่สุดจะไม่มีความหมายหากไม่มีการทบทวนซ้ำ ทีม HR ควรตั้งรอบตรวจสอบประจำ เช่น ทุกหกเดือน เพื่อสุ่มตรวจว่าฟอร์มสมัครงานยังมีข้อความแจ้งวัตถุประสงค์ครบถ้วน สิทธิ์เข้าถึง ATS ยังตรงกับตำแหน่งงานปัจจุบันของแต่ละผู้จัดการ และเรซูเม่เก่าที่เกินระยะเวลาที่กำหนดถูกจัดการตามนโยบายจริงหรือไม่ การทบทวนเป็นระยะช่วยจับปัญหาที่ค่อย ๆ สะสมจากการเปลี่ยนแปลงทีมงานหรือการเพิ่มฟีเจอร์ใหม่ในระบบ

เช็กลิสต์ปฏิบัติ

• ทบทวนช่องกรอกในฟอร์มสมัครงานทุกปีว่ายังจำเป็นต่อการพิจารณาจริงหรือไม่
• เพิ่มข้อความแจ้งวัตถุประสงค์และลิงก์ Privacy Policy ก่อนปุ่มอัปโหลดเรซูเม่
• แจ้งในประกาศรับสมัครล่วงหน้าหากตำแหน่งนั้นต้องมีการตรวจสอบประวัติ
• ตั้งสิทธิ์เข้าถึงระบบ ATS ตามหลัก Need-to-know และทบทวนทุกไตรมาส
• กำหนดระยะเวลาเก็บรักษาเรซูเม่แยกตามสถานะผู้สมัคร พร้อมรอบทบทวนจริง
• แยกชั้นการจัดเก็บเอกสารอ่อนไหว เช่น ใบรับรองแพทย์หรือประวัติอาชญากรรม
• เปิดช่องทางกลางให้ผู้สมัครติดต่อขอใช้สิทธิ์เกี่ยวกับข้อมูลของตนเอง
• มอบหมายเจ้าของระบบสมัครงานพร้อมเอกสารส่งต่องานเมื่อมีการเปลี่ยนตัว
• ทำรายการผู้ให้บริการภายนอกที่เข้าถึงข้อมูลผู้สมัครและทบทวนอย่างน้อยปีละครั้ง
• ตั้งรอบตรวจสอบระบบสมัครงานทุกหกเดือนแทนการตั้งค่าเพียงครั้งเดียว

ข้อผิดพลาดที่พบบ่อยเมื่อเริ่มวางแนวทางปฏิบัติ

• ปรับปรุงเฉพาะหน้าตาฟอร์มโดยไม่ทบทวนว่าช่องกรอกใดควรตัดออก
• เขียนนโยบายเก็บรักษาข้อมูลไว้แต่ไม่มีใครดำเนินการลบเมื่อครบกำหนดจริง
• มอบหมายเจ้าของระบบเพียงปากเปล่าโดยไม่มีเอกสารส่งต่องานเมื่อเปลี่ยนตัว
• ตั้งสิทธิ์เข้าถึง ATS ครั้งเดียวตอนติดตั้งระบบแล้วไม่เคยทบทวนซ้ำ
• เชื่อมต่อผู้ให้บริการภายนอกใหม่โดยไม่ตรวจสอบขอบเขตการใช้ข้อมูลก่อน

สรุป

แนวทางปฏิบัติด้าน PDPA ที่ได้ผลบนหน้าสมัครงานไม่ใช่การเพิ่มขั้นตอนให้ซับซ้อนขึ้น แต่คือการวางระบบให้ชัดเจนตั้งแต่การเก็บข้อมูล การเข้าถึง จนถึงการลบเมื่อหมดความจำเป็น ทีม HR ที่เริ่มจากจุดเล็ก ๆ เช่น ทบทวนฟอร์มและสิทธิ์เข้าถึง ATS มักเห็นผลได้เร็วกว่าการรอวางระบบใหญ่ทีเดียว หากต้องการตัวอย่างเอกสารเพื่อเริ่มต้นได้ทันที อ่านต่อได้ที่ ตัวอย่างและ Template สำหรับ HR หรือดูข้อผิดพลาดที่ควรหลีกเลี่ยงก่อนใน 10 ข้อผิดพลาดเรื่อง PDPA บนหน้าสมัครงาน องค์กรที่ต้องการตรวจสอบความพร้อมเบื้องต้นของหน้าเว็บไซต์สมัครงานสามารถเริ่มจาก เครื่องมือตรวจสอบ PDPA เบื้องต้น

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)