PDPA สำหรับเว็บไซต์ คืออะไร? คู่มือสำหรับฝ่าย HR เว็บไซต์สมัครงาน และ Recruitment

ผู้สมัครงานคนหนึ่งกรอกใบสมัครออนไลน์ แนบเรซูเม่ สำเนาบัตรประชาชน และผลตรวจสุขภาพตามที่ตำแหน่งงานกำหนด แล้วไม่เคยได้รับการติดต่อกลับอีกเลย หกเดือนต่อมาเขาสงสัยว่าข้อมูลเหล่านั้นยังอยู่ในระบบของบริษัทหรือไม่ ใครเข้าถึงได้บ้าง และจะขอให้ลบได้อย่างไร คำถามแบบนี้คือสิ่งที่ฝ่าย HR และทีมดูแลเว็บไซต์สมัครงานต้องตอบให้ได้ตั้งแต่วันที่ออกแบบฟอร์มสมัครงาน

บทความนี้อธิบาย PDPA สำหรับเว็บไซต์สมัครงานในภาพรวม สำหรับฝ่าย HR ทีม Recruitment และผู้ดูแลเว็บไซต์สมัครงานที่ต้องทำงานร่วมกัน

PDPA สำหรับเว็บไซต์สมัครงานคืออะไร

PDPA กำหนดหลักการจัดการข้อมูลส่วนบุคคล ตั้งแต่การแจ้งวัตถุประสงค์ก่อนเก็บข้อมูล การขอความยินยอมตามฐานที่เหมาะสม ไปจนถึงสิทธิของเจ้าของข้อมูลในการขอเข้าถึง แก้ไข หรือลบข้อมูลของตัวเอง สำหรับเว็บไซต์สมัครงาน หลักการเหล่านี้ใช้กับทุกจุดที่เก็บข้อมูลผู้สมัคร ไม่ว่าจะเป็นฟอร์มสมัครงานบนเว็บไซต์ ระบบ Applicant Tracking System หรือที่เรียกกันทั่วไปว่า ATS อีเมลรับสมัคร หรือแม้แต่ฟอร์มบนแพลตฟอร์มหางานภายนอกที่ลิงก์กลับมายังเว็บไซต์บริษัท

ความท้าทายของเว็บไซต์สมัครงานคือข้อมูลที่เก็บมักมีรายละเอียดมากกว่าฟอร์มติดต่อทั่วไปหลายเท่า และมีบางส่วนที่จัดเป็นข้อมูลอ่อนไหวตามลักษณะงาน เช่น ตำแหน่งที่ต้องตรวจประวัติอาชญากรรมหรือผลตรวจสุขภาพ

ข้อมูลผู้สมัครงานที่เว็บไซต์ HR มักเก็บ

ความอ่อนไหวของข้อมูลผู้สมัครงาน

ข้อมูลผู้สมัครงานหลายส่วนเข้าข่ายข้อมูลอ่อนไหวที่ต้องดูแลเป็นพิเศษ เช่น ข้อมูลสุขภาพจากการตรวจร่างกายก่อนเข้างาน ข้อมูลศาสนาที่บางครั้งปรากฏในเรซูเม่ หรือประวัติอาชญากรรมสำหรับตำแหน่งที่กฎหมายหรือนโยบายบริษัทกำหนดให้ตรวจ ฝ่าย HR ควรแยกข้อมูลกลุ่มนี้ออกจากข้อมูลทั่วไป จำกัดสิทธิ์การเข้าถึงเฉพาะผู้ที่จำเป็นต้องใช้จริง และหลีกเลี่ยงการขอข้อมูลอ่อนไหวที่ไม่เกี่ยวข้องกับตำแหน่งงานนั้น ๆ

วงจรชีวิตข้อมูลผู้สมัคร ตั้งแต่สมัครจนถึงลบ

ข้อมูลผู้สมัครงานควรถูกมองเป็นวงจรที่มีจุดเริ่มและจุดจบ ไม่ใช่ข้อมูลที่เก็บไว้ตลอดไปโดยไม่มีกำหนด วงจรนี้เริ่มจากขั้นตอนสมัคร ที่ผู้สมัครกรอกข้อมูลผ่านเว็บไซต์หรือแพลตฟอร์มหางาน ตามด้วยขั้นตอนคัดกรองที่ HR และหัวหน้างานพิจารณาคุณสมบัติ ขั้นตอนสัมภาษณ์ที่อาจมีการบันทึกผลเพิ่มเติม ขั้นตอนตัดสินใจว่าจะรับเข้าทำงานหรือปฏิเสธ และสุดท้ายคือขั้นตอนเก็บรักษาหรือลบข้อมูลตามระยะเวลาที่ธุรกิจกำหนดไว้

ผู้สมัครที่ไม่ได้รับการคัดเลือกมักถูกมองข้ามในขั้นตอนสุดท้ายนี้มากที่สุด หลายองค์กรเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ในระบบโดยไม่มีกำหนดเวลาลบ ทั้งที่ควรมีนโยบายชัดเจนว่าจะเก็บไว้นานเท่าใดเพื่อพิจารณาตำแหน่งอื่นในอนาคต และเมื่อพ้นระยะเวลานั้นควรมีกระบวนการลบข้อมูลออกจากระบบ

อีกจุดที่มักถูกลืมคือข้อมูลของผู้สมัครที่ผ่านการสัมภาษณ์แต่ตัดสินใจปฏิเสธข้อเสนองานเอง ข้อมูลกลุ่มนี้มักถูกเก็บไว้ปะปนกับข้อมูลพนักงานปัจจุบันโดยไม่มีการแยกสถานะให้ชัดเจน ทีม HR ควรทำตารางสถานะข้อมูลผู้สมัครแต่ละกลุ่ม เช่น อยู่ระหว่างพิจารณา ไม่ผ่านการคัดเลือก ปฏิเสธข้อเสนอเอง และรับเข้าทำงานแล้ว เพื่อกำหนดระยะเวลาเก็บรักษาที่เหมาะกับแต่ละสถานะแยกจากกัน

จุดตรวจบนเว็บไซต์สมัครงาน

ฟอร์มสมัครงานหน้าเว็บไซต์หลัก

ฟอร์มสมัครงานควรมีข้อความแจ้งวัตถุประสงค์การเก็บข้อมูลอยู่ใกล้กับปุ่มส่งใบสมัคร ไม่ใช่ซ่อนอยู่ในหน้า Privacy Policy ที่ต้องคลิกหาเอง ฟิลด์ที่ขอข้อมูลอ่อนไหวอย่างประวัติสุขภาพควรมีคำอธิบายเพิ่มเติมว่าทำไมตำแหน่งนี้ถึงต้องขอข้อมูลนี้ และช่องทางอัปโหลดไฟล์เรซูเม่และเอกสารแนบควรมีการเข้ารหัสหรือจำกัดสิทธิ์การเข้าถึง

ระบบ ATS และ CRM สรรหาบุคลากร

เมื่อข้อมูลจากฟอร์มถูกส่งเข้าระบบ ATS ทีมควรตรวจว่าใครมีสิทธิ์เข้าดูข้อมูลผู้สมัครในระบบนี้บ้าง หัวหน้างานที่ไม่ได้เกี่ยวข้องกับตำแหน่งควรเข้าถึงได้หรือไม่ และระบบมีการบันทึกว่าใครเปิดดูข้อมูลของผู้สมัครรายใดบ้างหรือไม่ เพื่อให้ตรวจสอบย้อนหลังได้หากเกิดข้อสงสัย

หน้า Landing Page แคมเปญรับสมัครงาน

บริษัทที่ทำแคมเปญรับสมัครงานจำนวนมาก เช่น ช่วงเปิดสาขาใหม่หรือรับพนักงานตามฤดูกาล มักสร้างหน้า Landing Page แยกต่างหากพร้อมฟอร์มสมัครของตัวเอง หน้าลักษณะนี้บางครั้งถูกทีมการตลาดสร้างขึ้นเร็ว ๆ โดยใช้ปลั๊กอินหรือเครื่องมือสร้างฟอร์มที่ไม่ได้ผ่านการตรวจสอบเช่นเดียวกับเว็บไซต์หลัก ทีมควรตรวจว่าหน้าเหล่านี้มีข้อความแจ้งวัตถุประสงค์และ Cookie Consent ครบเช่นเดียวกับหน้าสมัครงานหลัก

สถานการณ์ที่พบบ่อยระหว่างทีม HR และไอที

ปัญหาด้าน PDPA ของเว็บไซต์สมัครงานส่วนใหญ่ไม่ได้เกิดจากความตั้งใจ แต่เกิดจากทีมที่เกี่ยวข้องไม่รู้ว่าอีกทีมทำอะไรไปแล้ว ตัวอย่างที่พบได้บ่อยคือทีมไอทีไม่รู้ว่าฝ่าย HR เพิ่มฟิลด์ใหม่ในฟอร์มสมัครงานที่ขอข้อมูลอ่อนไหวเพิ่มโดยไม่ได้แจ้งให้ปรับ Privacy Policy ให้ตรงกัน หรือฝ่ายการตลาดที่ดูแลหน้า Landing Page แคมเปญรับสมัครงานไม่รู้ว่าปลั๊กอินฟอร์มที่ใช้ฝัง Tracking Script ของตัวเองมาด้วย ทำให้ข้อมูลผู้สมัครถูกส่งไปยังผู้ให้บริการภายนอกโดยไม่มีใครในทีมทราบ อีกกรณีที่พบบ่อยคือเมื่อเปลี่ยนระบบ ATS ใหม่ ข้อมูลผู้สมัครเก่าจากระบบเดิมถูกโอนย้ายมาโดยไม่มีใครทบทวนว่าควรเก็บต่อหรือควรลบตามนโยบายที่กำหนดไว้

บทบาทของ HR ไอที และ Recruitment Agency ในการดูแล PDPA

PDPA ของเว็บไซต์สมัครงานไม่ใช่งานของฝ่ายใดฝ่ายหนึ่งเพียงลำพัง ฝ่าย HR เป็นผู้กำหนดว่าจะเก็บข้อมูลอะไร ใช้ทำอะไร และเก็บนานแค่ไหน ทีมไอทีหรือผู้ดูแลเว็บไซต์เป็นผู้ทำให้ระบบทำงานตรงตามที่ HR กำหนด เช่น ตั้งค่า Cookie Consent และควบคุมสิทธิ์เข้าถึงไฟล์ในระบบ ส่วน Recruitment Agency ที่ช่วยหาผู้สมัครให้ ต้องมีข้อตกลงชัดเจนว่าข้อมูลผู้สมัครที่ส่งต่อมาให้บริษัทถูกเก็บและใช้งานอย่างไร ทั้งสามฝ่ายควรมีช่องทางสื่อสารร่วมกันเมื่อมีการเปลี่ยนแปลงฟอร์มสมัครงานหรือระบบ ATS เช่น กลุ่มแชทหรือช่องทางแจ้งเตือนภายในที่ทุกฝ่ายเห็นความเคลื่อนไหวร่วมกัน แทนที่จะให้แต่ละฝ่ายทำงานแยกส่วนแล้วรู้ตัวว่ามีปัญหาก็ต่อเมื่อผู้สมัครสอบถามหรือร้องเรียนเข้ามา

คำถามที่พบบ่อยเกี่ยวกับ PDPA บนเว็บไซต์สมัครงาน

เว็บไซต์สมัครงานต้องขอความยินยอมก่อนเก็บประวัติสุขภาพของผู้สมัครหรือไม่

ข้อมูลสุขภาพจัดเป็นข้อมูลอ่อนไหวที่ต้องดูแลเป็นพิเศษ ฝ่าย HR จึงควรมีข้อความแจ้งวัตถุประสงค์และขอความยินยอมอย่างชัดเจนก่อนขอข้อมูลกลุ่มนี้ พร้อมอธิบายว่าเกี่ยวข้องกับตำแหน่งงานอย่างไร ส่วนฐานกฎหมายที่เหมาะสมสำหรับแต่ละกรณีควรให้ผู้เชี่ยวชาญด้านกฎหมายของบริษัทพิจารณาตามลักษณะงานจริง

ผู้สมัครที่ไม่ผ่านการคัดเลือกมีสิทธิ์ขอให้ลบข้อมูลได้หรือไม่

PDPA ให้สิทธิ์เจ้าของข้อมูลในการขอเข้าถึง แก้ไข หรือขอให้ลบข้อมูลของตัวเองตามหลักการทั่วไป เว็บไซต์สมัครงานจึงควรมีช่องทางให้ผู้สมัครติดต่อขอใช้สิทธิ์เหล่านี้ได้ ส่วนรายละเอียดว่าจะดำเนินการอย่างไรและมีข้อยกเว้นใดบ้างควรพิจารณาร่วมกับผู้เชี่ยวชาญด้านกฎหมายตามบริบทของแต่ละองค์กร

ใช้ระบบ ATS ของผู้ให้บริการภายนอก ใครรับผิดชอบ PDPA ของข้อมูลในระบบนั้น

ความรับผิดชอบมักแบ่งกันระหว่างบริษัทผู้ใช้งานกับผู้ให้บริการ ATS ตามข้อตกลงการใช้บริการ ฝ่าย HR และทีมไอทีควรตรวจสัญญาหรือเงื่อนไขการใช้งานของผู้ให้บริการว่าระบุบทบาทด้านข้อมูลส่วนบุคคลไว้อย่างไร และปรับ Privacy Policy ของเว็บไซต์สมัครงานให้สอดคล้องกัน

หน้า Landing Page แคมเปญรับสมัครงานต้องมี Cookie Banner แยกจากเว็บไซต์หลักหรือไม่

ไม่จำเป็นต้องมี Banner แยก แต่หน้า Landing Page ต้องมีกลไก Consent ที่ทำงานจริงเช่นเดียวกับเว็บไซต์หลัก หากหน้านี้อยู่คนละโดเมนหรือใช้เครื่องมือสร้างฟอร์มของผู้ให้บริการภายนอก ทีมควรตรวจว่า Script ที่เครื่องมือนั้นฝังมาด้วยถูกควบคุมด้วย Consent เดียวกันหรือไม่ ก่อนเปิดใช้แคมเปญจริง

เช็กลิสต์ปฏิบัติ

• ใส่ข้อความแจ้งวัตถุประสงค์การเก็บข้อมูลไว้ใกล้ฟอร์มสมัครงาน
• แยกข้อมูลอ่อนไหวอย่างประวัติสุขภาพและประวัติอาชญากรรมออกจากข้อมูลทั่วไป
• กำหนดระยะเวลาเก็บและลบข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือก
• ตรวจสัญญาการใช้งานระบบ ATS และข้อตกลงกับ Recruitment Agency ภายนอก
• จำกัดสิทธิ์การเข้าถึงไฟล์เรซูเม่และเอกสารแนบเฉพาะทีมที่จำเป็น
• เปิดช่องทางให้ผู้สมัครติดต่อขอใช้สิทธิ์เข้าถึงหรือขอลบข้อมูลของตัวเอง
• ตรวจ Cookie บนหน้าเว็บสมัครงานให้ผ่าน Consent เช่นเดียวกับหน้าอื่น

ข้อผิดพลาดที่พบบ่อย

• เก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกไว้ในระบบโดยไม่มีกำหนดเวลาลบ
• ขอข้อมูลอ่อนไหวอย่างศาสนาหรือประวัติสุขภาพจากทุกตำแหน่งโดยไม่เกี่ยวข้องกับลักษณะงาน
• ให้พนักงานหลายแผนกเข้าถึงไฟล์เรซูเม่และเอกสารแนบได้โดยไม่จำกัดสิทธิ์
• ใช้ Privacy Policy ทั่วไปของเว็บไซต์บริษัท โดยไม่มีส่วนที่อธิบายเฉพาะสำหรับผู้สมัครงาน

สรุป

PDPA สำหรับเว็บไซต์สมัครงานครอบคลุมตั้งแต่ฟอร์มสมัคร ข้อมูลอ่อนไหวตามลักษณะงาน ไปจนถึงกระบวนการเก็บและลบข้อมูลของผู้สมัครที่ไม่ผ่านการคัดเลือก ฝ่าย HR ทีมไอที และ Recruitment Agency ต้องทำงานร่วมกันเพื่อให้เว็บไซต์และระบบหลังบ้านสอดคล้องกับสิ่งที่แจ้งผู้สมัครไว้จริง อ่านขั้นตอนวางระบบแบบละเอียดได้ที่ วิธีวางระบบ PDPA สำหรับเว็บไซต์สมัครงาน และดูภาพรวมหัวข้อ Privacy Fundamentals อื่นเพิ่มเติมได้ที่ ศูนย์รวมความรู้ Privacy Fundamentals

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)