วิธีวางระบบ PDPA สำหรับเว็บไซต์ สำหรับฝ่าย HR เว็บไซต์สมัครงาน และ Recruitmentแบบเป็นขั้นตอน

ผู้สมัครงานคนหนึ่งถามพนักงานสรรหาบุคลากรระหว่างสัมภาษณ์ว่า "ถ้าไม่ได้งานนี้ ข้อมูลที่ส่งมาจะถูกลบไหม" พนักงานสรรหาตอบไม่ได้ทันที เพราะไม่มีขั้นตอนที่กำหนดไว้ชัดเจนในทีม เหตุการณ์แบบนี้เกิดขึ้นบ่อยกับทีม HR ที่มีเว็บไซต์สมัครงานแต่ยังไม่เคยวางระบบ PDPA อย่างเป็นขั้นตอน

บทความนี้แจกแจงขั้นตอนวางระบบ PDPA สำหรับเว็บไซต์สมัครงานแบบทำตามได้จริง สำหรับฝ่าย HR ทีม Recruitment และผู้ดูแลเว็บไซต์สมัครงาน

ก่อนเริ่มวางระบบ ต้องรู้อะไรบ้าง

ก่อนลงมือ ทีมควรตอบคำถามพื้นฐานสามข้อให้ชัดก่อน คือเว็บไซต์สมัครงานเก็บข้อมูลอะไรบ้างในปัจจุบัน ข้อมูลเหล่านั้นไหลไปที่ไหนต่อ เช่น เข้าระบบ ATS หรือส่งต่อให้หัวหน้างานทางอีเมล และใครในองค์กรเป็นเจ้าของกระบวนการนี้ หากยังตอบไม่ได้ ควรเริ่มจากการสำรวจฟอร์มและระบบที่ใช้อยู่จริงก่อนลงมือวางกระบวนการใหม่

วิธีสำรวจที่ทำได้เร็วคือให้ทีม HR และทีมไอทีนั่งไล่ดูเว็บไซต์สมัครงานพร้อมกันหนึ่งรอบ เปิดทุกฟอร์มที่มีจริง จดว่าแต่ละฟอร์มขอข้อมูลอะไรบ้าง แล้วถามคำถามต่อว่าข้อมูลนั้นจำเป็นต่อการพิจารณาตำแหน่งจริงหรือไม่ ฟิลด์ที่ใส่ไว้เพราะเคยมีมาแต่ไม่มีใครใช้ประโยชน์แล้วควรถูกตัดออก เพราะการเก็บข้อมูลเกินความจำเป็นเป็นความเสี่ยงที่สะสมโดยไม่ก่อประโยชน์ใด ๆ กับกระบวนการสรรหา

ตัวอย่างการแบ่งบทบาทตามขนาดทีม

องค์กรขนาดเล็กที่มี HR คนเดียวดูแลทั้งเว็บไซต์สมัครงานและกระบวนการสรรหา อาจรวมบทบาทเจ้าของข้อมูลและผู้อนุมัติการเข้าถึงไว้ที่คนเดียวกัน แต่ควรมีรายการตรวจสอบเป็นลายลักษณ์อักษรไว้ เพื่อไม่ให้ขั้นตอนขึ้นอยู่กับความจำของคนคนเดียว ส่วนองค์กรขนาดกลางถึงใหญ่ที่มีทีม HR หลายคนและมีทีมไอทีแยกต่างหาก ควรแบ่งบทบาทชัดเจนระหว่างผู้กำหนดนโยบายข้อมูล ผู้ดูแลระบบ ATS ฝั่งเทคนิค และผู้รับคำขอสิทธิ์จากผู้สมัคร เพื่อไม่ให้งานทับซ้อนหรือตกหล่นระหว่างทีม

ขั้นตอนที่ 1 แจ้ง Privacy Notice บนฟอร์มสมัครงาน

เพิ่มข้อความสั้น ๆ ใกล้ปุ่มส่งใบสมัคร อธิบายว่าเก็บข้อมูลอะไร ใช้ทำอะไร เก็บนานเท่าใด และติดต่อขอใช้สิทธิ์ได้ที่ไหน ข้อความนี้ไม่จำเป็นต้องยาวเท่า Privacy Policy เต็มรูปแบบ แต่ต้องลิงก์ไปยังเอกสารฉบับเต็มให้ผู้สมัครอ่านเพิ่มได้ ฟิลด์ที่ขอข้อมูลอ่อนไหว เช่น ประวัติสุขภาพหรือประวัติอาชญากรรม ควรมีข้อความอธิบายแยกเฉพาะจุดว่าทำไมตำแหน่งนี้ถึงต้องขอข้อมูลนี้เพิ่มเติม

ขั้นตอนที่ 2 ตั้งค่า Consent สำหรับ Cookie และ Tracking บนเว็บสมัครงาน

หน้าสมัครงานที่มี Cookie สำหรับ Analytics หรือใช้ติดตามว่าผู้สมัครมาจากช่องทางไหน ต้องผ่านกลไก Consent เช่นเดียวกับหน้าอื่นของเว็บไซต์ ตรวจว่า Script เหล่านี้ไม่ทำงานก่อนผู้ใช้กดยินยอม และหน้า Landing Page แคมเปญรับสมัครงานที่ทีมการตลาดสร้างแยกต่างหากก็ต้องมีกลไกเดียวกันนี้ด้วย ไม่ใช่แค่เว็บไซต์หลัก

ขั้นตอนที่ 3 กำหนดสิทธิ์เข้าถึงข้อมูลผู้สมัครในระบบ ATS หรือ CRM

กำหนดว่าใครในทีมมีสิทธิ์เปิดดูข้อมูลผู้สมัครได้บ้าง โดยยึดหลักให้สิทธิ์เท่าที่จำเป็นต่อการทำงานจริง เช่น หัวหน้างานควรเห็นเฉพาะผู้สมัครตำแหน่งของตัวเอง ไม่ใช่เห็นผู้สมัครทุกตำแหน่งในองค์กร หากระบบรองรับการบันทึกว่าใครเปิดดูข้อมูลของผู้สมัครรายใดบ้าง ควรเปิดใช้งานฟีเจอร์นี้เพื่อให้ตรวจสอบย้อนหลังได้เมื่อจำเป็น

ขั้นตอนที่ 4 กำหนดระยะเวลาเก็บและลบข้อมูลผู้สมัครที่ไม่ได้รับการคัดเลือก

กำหนดนโยบายว่าจะเก็บข้อมูลผู้สมัครที่ไม่ผ่านการคัดเลือกไว้นานเท่าใดเพื่อพิจารณาตำแหน่งอื่นในอนาคต แล้วตั้งกระบวนการลบข้อมูลเมื่อพ้นระยะเวลานั้น ทีมควรแยกสถานะข้อมูลผู้สมัครแต่ละกลุ่มให้ชัด เช่น อยู่ระหว่างพิจารณา ไม่ผ่านการคัดเลือก ปฏิเสธข้อเสนอเอง และรับเข้าทำงานแล้ว เพื่อให้กำหนดระยะเวลาที่เหมาะกับแต่ละกลุ่มแยกจากกันได้ หากระบบ ATS รองรับการตั้งค่าลบข้อมูลอัตโนมัติตามระยะเวลาที่กำหนด ควรเปิดใช้งานฟีเจอร์นี้แทนการพึ่งพาให้พนักงานคนใดคนหนึ่งจำได้ว่าต้องลบข้อมูลชุดใดเมื่อไหร่ เพราะกระบวนการที่พึ่งพาความจำคนมักตกหล่นเมื่อพนักงานลาออกหรือเปลี่ยนตำแหน่ง

ขั้นตอนที่ 5 จัดการคำขอสิทธิ์ของผู้สมัคร

เปิดช่องทางให้ผู้สมัครติดต่อขอเข้าถึง แก้ไข หรือขอให้ลบข้อมูลของตัวเองได้ เช่น อีเมลกลางของฝ่าย HR หรือฟอร์มติดต่อบนเว็บไซต์ กำหนดผู้รับผิดชอบตอบคำขอเหล่านี้และระยะเวลาที่ควรตอบกลับผู้สมัคร เพื่อไม่ให้คำขอตกหล่นหรือถูกลืมไประหว่างทาง

ขั้นตอนที่ 6 ประสานกับ Recruitment Agency ภายนอก

หากใช้บริการ Recruitment Agency ช่วยหาผู้สมัคร ควรมีข้อตกลงชัดเจนว่า Agency เก็บและส่งต่อข้อมูลผู้สมัครให้บริษัทอย่างไร ข้อมูลที่ส่งมาต้องได้รับความยินยอมจากผู้สมัครแล้วหรือไม่ และเมื่อจบกระบวนการสรรหาแล้ว Agency มีนโยบายลบข้อมูลในฝั่งของตัวเองอย่างไร ทีม HR ควรขอเอกสารหรือข้อตกลงเหล่านี้ไว้เป็นหลักฐานประกอบการตรวจสอบภายใน

เครื่องมือและเอกสารที่ต้องเตรียมคู่กัน

นอกจากขั้นตอนบนเว็บไซต์ ทีมควรเตรียมเอกสาร Privacy Policy ฉบับเต็มที่อธิบายรายละเอียดครบถ้วน แบบฟอร์มขอความยินยอมสำหรับข้อมูลอ่อนไหวที่แยกจากข้อความแจ้งทั่วไป และตารางบันทึกสถานะข้อมูลผู้สมัครที่ทีม HR ใช้ติดตามภายใน เครื่องมืออย่าง Policy Generator ของ trusty ช่วยร่างเอกสารเริ่มต้นจากข้อมูลที่ทีมกรอกได้ แต่ธุรกิจที่มีตำแหน่งงานต้องตรวจประวัติอาชญากรรมหรือข้อมูลสุขภาพควรให้ผู้เชี่ยวชาญด้านกฎหมายตรวจเอกสารเหล่านี้อีกชั้นก่อนเผยแพร่จริง นอกจากเอกสารแล้ว ทีมควรกำหนดปฏิทินทบทวนประจำปีไว้ล่วงหน้า เพื่อให้ขั้นตอนทั้งหมดนี้ถูกตรวจสอบซ้ำอย่างสม่ำเสมอ ไม่ใช่วางไว้ครั้งเดียวแล้วลืมไปจนกว่าจะมีปัญหาเกิดขึ้นจริง

คำถามที่พบบ่อยเกี่ยวกับการวางระบบ PDPA เว็บไซต์สมัครงาน

ต้องมี Privacy Notice แยกจาก Privacy Policy หลักของบริษัทหรือไม่

ไม่จำเป็นต้องแยกเป็นเอกสารคนละฉบับ แต่ควรมีข้อความสั้นที่อธิบายเฉพาะบริบทการสมัครงานอยู่ใกล้ฟอร์ม แล้วลิงก์ไปยัง Privacy Policy ฉบับเต็มของบริษัทเพื่อให้ผู้สมัครอ่านรายละเอียดเพิ่มได้ วิธีนี้ช่วยให้ผู้สมัครเข้าใจบริบทเฉพาะโดยไม่ต้องอ่านเอกสารยาวทั้งหมดก่อนกดส่งใบสมัคร

ควรใช้เวลานานเท่าใดในการวางระบบ PDPA สำหรับเว็บไซต์สมัครงานตั้งแต่เริ่มต้น

ระยะเวลาขึ้นกับความซับซ้อนของระบบที่ใช้อยู่ เว็บไซต์ที่มีฟอร์มเดียวและ ATS ระบบเดียวอาจวางขั้นตอนพื้นฐานให้เสร็จได้ภายในไม่กี่สัปดาห์ ส่วนองค์กรที่มีหลายตำแหน่งงาน หลาย Agency และระบบเก่าที่สะสมข้อมูลมานาน มักต้องใช้เวลานานกว่านั้นเพื่อสำรวจและจัดระเบียบข้อมูลเดิมก่อนวางกระบวนการใหม่

ถ้าองค์กรใช้หลายช่องทางรับสมัคร เช่น เว็บไซต์และแพลตฟอร์มหางานภายนอก ต้องวางระบบแยกกันหรือไม่

ควรวางหลักการเดียวกันให้ครอบคลุมทุกช่องทาง แต่รายละเอียดการปฏิบัติอาจต่างกันไปตามข้อจำกัดของแต่ละแพลตฟอร์ม เช่น แพลตฟอร์มหางานภายนอกอาจมีนโยบายข้อมูลของตัวเองอยู่แล้ว ทีมควรตรวจว่านโยบายของแพลตฟอร์มเหล่านั้นสอดคล้องกับสิ่งที่บริษัทแจ้งผู้สมัครไว้หรือไม่ และระบุช่องทางเหล่านี้ไว้ใน Privacy Policy ของบริษัทด้วย

องค์กรขนาดเล็กที่มี HR คนเดียว ต้องทำครบทุกขั้นตอนเหมือนองค์กรใหญ่หรือไม่

หลักการพื้นฐานทั้งหกขั้นตอนควรทำครบไม่ว่าองค์กรจะมีขนาดใดก็ตาม เพียงแต่วิธีปฏิบัติอาจปรับให้เรียบง่ายขึ้นตามขนาดทีม เช่น ใช้อีเมลกลางแทนระบบรับคำขอสิทธิ์แบบอัตโนมัติ หรือใช้ตารางบันทึกสถานะข้อมูลแบบไฟล์เดียวแทนระบบ ATS เต็มรูปแบบ สิ่งสำคัญคือมีขั้นตอนที่ทำซ้ำได้ทุกครั้ง ไม่ใช่ขึ้นอยู่กับดุลยพินิจของแต่ละคนในแต่ละครั้ง

เช็กลิสต์ปฏิบัติ

• เพิ่มข้อความ Privacy Notice สั้นใกล้ฟอร์มสมัครงานพร้อมลิงก์ไปยัง Policy ฉบับเต็ม
• ตรวจว่า Cookie บนหน้าเว็บสมัครงานและหน้า Landing Page แคมเปญผ่าน Consent
• กำหนดสิทธิ์เข้าถึงข้อมูลผู้สมัครในระบบ ATS ตามหลักให้สิทธิ์เท่าที่จำเป็น
• กำหนดระยะเวลาเก็บและลบข้อมูลแยกตามสถานะผู้สมัครแต่ละกลุ่ม
• เปิดช่องทางรับคำขอสิทธิ์ของผู้สมัครและกำหนดผู้รับผิดชอบตอบกลับ
• ทำข้อตกลงด้านข้อมูลกับ Recruitment Agency ภายนอกให้ชัดเจน
• เตรียม Privacy Policy ฉบับเต็มและแบบฟอร์มขอความยินยอมสำหรับข้อมูลอ่อนไหว

ข้อผิดพลาดที่พบบ่อย

• เพิ่มข้อความ Privacy Notice ไว้ แต่ไม่มีช่องทางให้ผู้สมัครติดต่อขอใช้สิทธิ์จริง
• ให้หัวหน้างานทุกแผนกเข้าถึงข้อมูลผู้สมัครทุกตำแหน่งในระบบ ATS โดยไม่จำกัดสิทธิ์
• ไม่มีข้อตกลงเป็นลายลักษณ์อักษรกับ Recruitment Agency เรื่องการจัดการข้อมูลผู้สมัคร
• ตั้งขั้นตอนไว้ครั้งเดียวตอนเริ่มต้น แล้วไม่มีใครทบทวนเมื่อเปลี่ยนระบบ ATS หรือเพิ่มช่องทางรับสมัครใหม่

สรุป

การวางระบบ PDPA สำหรับเว็บไซต์สมัครงานทำได้เป็นขั้นตอนตั้งแต่แจ้งวัตถุประสงค์บนฟอร์ม ตั้งค่า Consent กำหนดสิทธิ์เข้าถึงข้อมูลใน ATS ไปจนถึงจัดการคำขอสิทธิ์ของผู้สมัครและข้อตกลงกับ Agency ภายนอก แต่ละขั้นตอนต้องมีเจ้าของที่ชัดเจนเพื่อให้ทำงานต่อเนื่องได้จริง ไม่ใช่ทำครั้งเดียวแล้วปล่อยทิ้งไว้ อ่านภาพรวมพื้นฐานเพิ่มเติมได้ที่ PDPA สำหรับเว็บไซต์สมัครงาน คู่มือสำหรับฝ่าย HR และดูหัวข้อ Privacy Fundamentals อื่นเพิ่มเติมได้ที่ ศูนย์รวมความรู้ Privacy Fundamentals

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)