เช็กลิสต์ PDPA สำหรับเว็บไซต์ สำหรับฝ่าย HR เว็บไซต์สมัครงาน และ Recruitment: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

ฝ่าย HR เปิดฟอร์มสมัครงานตำแหน่งใหม่บนเว็บไซต์บริษัท ทีมการตลาดโพสต์ลิงก์ลงโซเชียล ใบสมัครไหลเข้ามาหลักร้อยภายในสัปดาห์เดียว แล้ววันหนึ่งก็มีคำถามจากผู้บริหารว่า ถ้าผู้สมัครที่ไม่ได้รับคัดเลือกเมื่อหกเดือนก่อนขอให้ลบข้อมูล ทีมจะหาไฟล์นั้นเจอไหม และมีใครตอบได้บ้างว่าข้อมูลเหล่านั้นถูกเก็บไว้ที่ไหน เข้าถึงได้กี่คน เช็กลิสต์นี้เขียนขึ้นเพื่อให้ทีม HR ที่ดูแลเว็บไซต์สมัครงานตรวจตัวเองก่อนที่คำถามแบบนี้จะเกิดขึ้นจริง

ฟอร์มสมัครงานเก็บข้อมูลอะไรบ้างที่ต้องตรวจ

ฟอร์มสมัครงานทั่วไปเก็บมากกว่าชื่อกับเบอร์โทร หลายเว็บไซต์แนบฟิลด์ที่ไม่จำเป็นต่อการพิจารณาตำแหน่งเข้าไปโดยไม่รู้ตัว เช่น สถานภาพสมรส ศาสนา หรือรูปถ่ายเต็มตัว ทีม HR ควรไล่ดูฟิลด์ทั้งหมดในฟอร์มแล้วถามทีละข้อว่าข้อมูลนี้จำเป็นต่อการพิจารณาตำแหน่งนี้จริงหรือไม่

ข้อมูลที่มักปรากฏในฟอร์มสมัครงานและควรตรวจเป็นพิเศษ ได้แก่ ประวัติสุขภาพหรือโรคประจำตัว ศาสนา เชื้อชาติ ประวัติอาชญากรรม และข้อมูลผู้ค้ำประกัน ข้อมูลกลุ่มนี้จัดเป็นข้อมูลที่ต้องระมัดระวังเป็นพิเศษ หากเว็บไซต์เก็บโดยไม่มีเหตุผลที่ผูกกับตำแหน่งงานชัดเจน ควรพิจารณาตัดออกหรือย้ายไปถามเฉพาะรอบสัมภาษณ์ที่มีบริบทประกอบ

จุดตรวจก่อนเปิดฟอร์มสมัครงานบนเว็บไซต์

ก่อนเผยแพร่ฟอร์มสมัครงานเวอร์ชันใหม่หรือเปิดตำแหน่งใหม่ ทีมควรตรวจสามจุดนี้เป็นอย่างน้อย

คำอธิบายการใช้ข้อมูลอยู่ในจุดที่ผู้สมัครเห็นก่อนกดส่งหรือไม่

ผู้สมัครควรเห็นลิงก์หรือข้อความสั้น ๆ อธิบายว่าข้อมูลที่กรอกจะถูกใช้เพื่อพิจารณาตำแหน่งงาน เก็บไว้นานเท่าใด และติดต่อใครได้หากต้องการสอบถามหรือขอให้ลบ ข้อความนี้ควรอยู่ใกล้ปุ่มส่งฟอร์ม ไม่ใช่ฝังอยู่ในหน้า Privacy Policy รวมที่ต้องคลิกหาหลายชั้น

ฟิลด์ที่ทำเครื่องหมายว่าจำเป็น ตรงกับข้อมูลที่ใช้จริงในการคัดกรองหรือไม่

ฟิลด์ที่บังคับกรอกทุกช่องควรมีเหตุผลรองรับ หากทีมสรรหาไม่เคยใช้ข้อมูลบางฟิลด์ในการคัดกรองเลย นั่นเป็นสัญญาณว่าฟิลด์นั้นอาจเก็บเกินความจำเป็น

ระบบหลังบ้านที่รับข้อมูลจากฟอร์ม ส่งต่อไปที่ใดบ้าง

ฟอร์มสมัครงานส่วนใหญ่เชื่อมกับระบบ ATS อีเมลของทีมสรรหา หรือ Google Sheet ทีมควรรู้ว่าข้อมูลไหลไปกี่ที่ แต่ละที่มีใครเข้าถึงได้บ้าง เพราะจุดที่ข้อมูลกระจายมากที่สุดมักเป็นจุดที่ลบข้อมูลไม่ครบเมื่อถึงเวลาที่ต้องลบ

จุดตรวจระหว่างเก็บและประมวลผลใบสมัคร

เมื่อใบสมัครเริ่มไหลเข้ามา คำถามเปลี่ยนจาก เก็บอะไร ไปเป็น ใครเข้าถึงได้ และใช้อย่างไร

• ผู้ที่เข้าถึงรายชื่อผู้สมัครทั้งหมดควรจำกัดเฉพาะทีมสรรหาและผู้จัดการสายงานที่เกี่ยวข้องกับตำแหน่งนั้นจริง ไม่ใช่เปิดให้ทั้งแผนกดูได้
• หากส่งข้อมูลผู้สมัครให้ผู้จัดการสายงานทางอีเมล ควรมีช่องทางที่ควบคุมได้มากกว่าอีเมลเปิดกว้าง เช่น ลิงก์ในระบบ ATS ที่จำกัดสิทธิ์การเข้าถึง
• หากใช้บริการตรวจประวัติภายนอก เช่น ตรวจประวัติอาชญากรรมหรือเครดิตบูโร ควรมีขั้นตอนแจ้งผู้สมัครก่อนส่งข้อมูลออกไปยังผู้ให้บริการนั้น
• ไฟล์ Resume ที่แนบมาควรถูกเก็บในที่เดียวกับข้อมูลฟอร์ม ไม่กระจายอยู่ในเครื่องส่วนตัวของพนักงานแต่ละคน

จุดตรวจเมื่อส่งต่อข้อมูลผู้สมัครให้ผู้อื่น

กระบวนการสรรหาแทบทุกบริษัทมีการส่งต่อข้อมูลผู้สมัครออกจากทีม HR อย่างน้อยหนึ่งจุด ไม่ว่าจะเป็นผู้จัดการสายงาน ผู้ให้บริการตรวจประวัติ หรือระบบ ATS ที่เป็นผู้ให้บริการภายนอก แต่ละจุดควรมีคำตอบที่ชัดเจนต่อคำถามสามข้อ ผู้รับข้อมูลคือใคร รับไปทำอะไร และเก็บข้อมูลนั้นไว้นานแค่ไหนหลังจากกระบวนการจบ หากตอบไม่ได้ครบทั้งสามข้อในจุดใด นั่นคือจุดที่ควรทำ Data Flow ให้ชัดก่อน

จุดตรวจเรื่องระยะเก็บและการลบข้อมูลผู้สมัคร

ผู้สมัครที่ไม่ได้รับคัดเลือกมักเป็นกลุ่มที่ถูกลืมมากที่สุด เพราะทีมสรรหาผ่านไปโฟกัสตำแหน่งถัดไปแล้ว ทีมควรกำหนดว่าจะเก็บข้อมูลผู้สมัครที่ไม่ผ่านไว้นานเท่าใดสำหรับกรณีเปิดตำแหน่งใกล้เคียงในอนาคต แล้วบันทึกกำหนดเวลานั้นไว้เป็นลายลักษณ์อักษร พร้อมกำหนดว่าเมื่อครบกำหนดแล้วใครเป็นผู้รับผิดชอบลบ และลบออกจากทุกที่ที่ข้อมูลกระจายอยู่จริง ไม่ใช่แค่ในระบบ ATS หลัก

บทบาทของเครื่องมืออย่าง trusty ในกระบวนการนี้

trusty มีโมดูล PDPA Readiness Scan ที่ช่วยตรวจว่าหน้าฟอร์มสมัครงานแสดง Privacy Policy หรือคำอธิบายการใช้ข้อมูลให้ผู้สมัครเห็นก่อนกดส่งหรือไม่ และช่วยสร้างร่าง Privacy Policy จากข้อมูลที่ทีมกรอกเข้าไปในระบบ ผลตรวจจากเครื่องมือครอบคลุมเฉพาะสิ่งที่มองเห็นได้จากหน้าเว็บสาธารณะ เช่น ฟอร์มและลิงก์นโยบาย ส่วนขั้นตอนภายใน เช่น ใครเข้าถึงระบบ ATS ได้บ้าง หรือสัญญากับผู้ให้บริการตรวจประวัติเขียนไว้อย่างไร ยังต้องให้ทีม HR และฝ่ายกฎหมายตรวจเพิ่มเติมเอง

คำถามที่พบบ่อย

ฟอร์มสมัครงานต้องมีปุ่มปฏิเสธการให้ข้อมูลหรือไม่

ฟอร์มสมัครงานเป็นกรณีที่ผู้สมัครสมัครใจกรอกเพื่อขอรับการพิจารณา จึงต่างจาก Cookie Banner ที่ต้องมีตัวเลือกปฏิเสธชัดเจน แต่ผู้สมัครควรรู้ว่าฟิลด์ใดจำเป็นต่อการพิจารณาและฟิลด์ใดเป็นทางเลือก

ต้องเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกไว้นานแค่ไหน

กฎหมายไม่ได้กำหนดตัวเลขตายตัวสำหรับทุกกรณี ทีม HR ควรกำหนดระยะเวลาที่สมเหตุสมผลกับเหตุผลทางธุรกิจ เช่น เผื่อเปิดตำแหน่งใกล้เคียงในอนาคต แล้วบันทึกเหตุผลนั้นไว้ และให้ฝ่ายกฎหมายตรวจสอบให้เหมาะกับบริบทองค์กร

ถ้าใช้ระบบ ATS ของผู้ให้บริการภายนอก ต้องตรวจอะไรเพิ่ม

ควรตรวจว่าผู้ให้บริการ ATS เก็บข้อมูลไว้ที่ใด มีสัญญาการประมวลผลข้อมูลระหว่างบริษัทกับผู้ให้บริการหรือไม่ และมีช่องทางให้บริษัทลบหรือส่งออกข้อมูลได้เมื่อสัญญาบริการสิ้นสุด

ผู้จัดการสายงานที่ไม่ใช่ HR ควรเห็นข้อมูลผู้สมัครมากแค่ไหน

ควรจำกัดให้เห็นเฉพาะข้อมูลที่จำเป็นต่อการตัดสินใจสำหรับตำแหน่งที่ตนรับผิดชอบ ไม่ใช่เข้าถึงฐานข้อมูลผู้สมัครทั้งหมดของบริษัท

เช็กลิสต์ปฏิบัติ

• ไล่ดูฟิลด์ทั้งหมดในฟอร์มสมัครงาน แล้วตัดฟิลด์ที่ไม่จำเป็นต่อการพิจารณาตำแหน่งนั้นออก
• วางคำอธิบายการใช้ข้อมูลไว้ใกล้ปุ่มส่งฟอร์ม ไม่ฝังในหน้านโยบายรวม
• ทำรายการว่าข้อมูลผู้สมัครไหลไปที่ใดบ้างหลังกดส่งฟอร์ม เช่น ATS อีเมล หรือ Google Sheet
• จำกัดสิทธิ์การเข้าถึงรายชื่อผู้สมัครเฉพาะทีมที่เกี่ยวข้องกับตำแหน่งนั้น
• กำหนดขั้นตอนแจ้งผู้สมัครก่อนส่งข้อมูลให้ผู้ตรวจประวัติภายนอก
• กำหนดระยะเวลาที่จะเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก แล้วบันทึกเป็นลายลักษณ์อักษร
• ตรวจว่าลบข้อมูลครบทุกจุดที่กระจายอยู่จริงเมื่อถึงกำหนด ไม่ใช่แค่ในระบบหลัก

ข้อผิดพลาดที่พบบ่อย

• ใช้ฟอร์มสมัครงานเทมเพลตเดิมทุกตำแหน่ง โดยไม่เคยกลับมาทบทวนว่าฟิลด์ยังจำเป็นอยู่หรือไม่
• ส่งข้อมูลผู้สมัครให้ผู้จัดการสายงานทางอีเมลเปิดกว้าง แล้วไม่มีใครลบไฟล์แนบหลังจบกระบวนการ
• ไม่มีกำหนดเวลาลบข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก ทำให้ข้อมูลค้างอยู่หลายปี
• คำอธิบายการใช้ข้อมูลเขียนไว้เผื่อทุกกรณีจนไม่ตรงกับสิ่งที่ทีมทำจริง เช่น อ้างว่าจะใช้เพื่อการตลาดทั้งที่ไม่เคยทำ
• ลืมตรวจปลั๊กอินหรือวิดเจ็ตฟอร์มสมัครงานที่อัปเดตเวอร์ชันใหม่ แล้วเพิ่มฟิลด์หรือสคริปต์ติดตามโดยไม่มีใครรู้

สรุป

เช็กลิสต์นี้ไม่ได้บอกว่าทำครบแล้วเว็บไซต์สมัครงานจะปลอดความเสี่ยงทุกกรณี แต่ช่วยให้ทีม HR เห็นจุดที่ควรตรวจก่อนเปิดฟอร์มใหม่หรือทบทวนฟอร์มเดิม จุดที่ควรเริ่มก่อนคือฟิลด์ที่เก็บเกินความจำเป็นและกำหนดเวลาลบข้อมูลผู้สมัครที่ไม่ผ่าน เพราะเป็นสองจุดที่พบปัญหาบ่อยที่สุดเมื่อมีการตรวจสอบภายใน

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)
• วิธี Audit PDPA สำหรับเว็บไซต์สมัครงาน พร้อม Evidence ที่ควรเก็บ
• ศูนย์ความรู้ Privacy Fundamentals ของ trusty