แก้ปัญหา PDPA บนหน้าสมัครงานเมื่อระบบทำงานไม่ตรงกับที่ทีม HR คาดไว้

เช้าวันจันทร์ ผู้จัดการฝ่ายขายของบริษัทหนึ่งส่งข้อความถามทีม HR ว่าทำไมตนเองจึงมองเห็นใบสมัครของตำแหน่งในฝ่ายบัญชีในระบบ ATS ทั้งที่ไม่เคยรับผิดชอบการสัมภาษณ์ตำแหน่งนั้นเลย ทีม HR ตรวจสอบแล้วพบว่าสิทธิ์เข้าถึงถูกตั้งค่าแบบเปิดกว้างมาตั้งแต่วันติดตั้งระบบ โดยไม่มีใครเคยจำกัดสิทธิ์ตามตำแหน่งงานอีกเลย ปัญหาลักษณะนี้มักไม่ถูกค้นพบจนกว่าจะมีคนสังเกตเห็นโดยบังเอิญ

บทความนี้รวบรวมอาการปัญหาที่ทีม HR และผู้ดูแลเว็บไซต์สมัครงานเจอบ่อยเกี่ยวกับการจัดการข้อมูลผู้สมัครตาม PDPA พร้อมแนวทางตรวจสอบสาเหตุและวิธีแก้ไขที่ทำได้จริงในองค์กร ไม่ใช่เพียงแก้ปัญหาเฉพาะหน้าโดยไม่ทราบต้นตอ

ปัญหา: ผู้จัดการเห็นข้อมูลผู้สมัครของแผนกอื่นในระบบ ATS

อาการที่พบ

ผู้จัดการหรือหัวหน้าทีมสามารถมองเห็นใบสมัครของตำแหน่งที่ตนเองไม่ได้มีส่วนเกี่ยวข้องกับการตัดสินใจจ้างงาน

สาเหตุที่พบบ่อย

ส่วนใหญ่เกิดจากการตั้งค่าสิทธิ์เข้าถึงระบบ ATS แบบเปิดกว้างตั้งแต่วันติดตั้ง โดยไม่มีการจัดกลุ่มสิทธิ์ตามตำแหน่งงานหรือแผนก หรือเกิดจากการเพิ่มผู้ใช้งานใหม่โดยคัดลอกสิทธิ์จากบัญชีเดิมที่มีสิทธิ์กว้างอยู่แล้ว

วิธีตรวจสอบ

ให้ทีม HR ขอรายการสิทธิ์เข้าถึงทั้งหมดจากผู้ดูแลระบบ ATS แล้วเทียบกับตำแหน่งงานที่แต่ละผู้จัดการรับผิดชอบจริงในปัจจุบัน หากพบว่ามีผู้ใช้งานที่เห็นข้อมูลเกินขอบเขตความรับผิดชอบ ให้บันทึกไว้เป็นรายการที่ต้องแก้ไข

วิธีแก้ไข

ปรับสิทธิ์เข้าถึงให้จำกัดตามตำแหน่งงานหรือแผนกที่รับผิดชอบจริง และตั้งขั้นตอนใหม่ว่าเมื่อเพิ่มผู้ใช้งานในระบบ ต้องกำหนดสิทธิ์ตามตำแหน่งงานเฉพาะ ไม่ใช่คัดลอกจากบัญชีอื่นโดยอัตโนมัติ พร้อมตั้งรอบทบทวนสิทธิ์เข้าถึงทุกไตรมาส

ปัญหา: เรซูเม่ของผู้สมัครเก่ายังอยู่ในระบบทั้งที่ปิดตำแหน่งไปนานแล้ว

อาการที่พบ

เมื่อค้นหาในระบบ พบเรซูเม่ของผู้สมัครที่ไม่ผ่านการคัดเลือกตั้งแต่หลายปีก่อนยังคงอยู่ครบถ้วน โดยไม่มีการลบหรือทำให้ไม่สามารถระบุตัวตนได้

สาเหตุที่พบบ่อย

องค์กรมีนโยบายเก็บรักษาข้อมูลเขียนไว้ในเอกสาร แต่ไม่มีขั้นตอนปฏิบัติจริงที่ทำให้เกิดการลบเมื่อครบกำหนด หรือระบบ ATS ไม่มีฟีเจอร์แจ้งเตือนอัตโนมัติเมื่อข้อมูลถึงกำหนดตามนโยบาย

วิธีตรวจสอบ

สุ่มตรวจอายุของเรซูเม่ที่เก่าที่สุดในระบบเทียบกับระยะเวลาที่ระบุไว้ในนโยบายเก็บรักษาข้อมูล หากพบว่ามีเรซูเม่ที่เกินระยะเวลาที่กำหนดไว้จำนวนมาก แสดงว่าขั้นตอนการลบไม่เคยถูกดำเนินการจริง

วิธีแก้ไข

กำหนดผู้รับผิดชอบทบทวนและลบข้อมูลตามรอบที่แน่นอน เช่น ทุกไตรมาส แทนที่จะพึ่งพาความจำของพนักงานคนใดคนหนึ่ง หากระบบ ATS มีฟีเจอร์ตั้งเวลาลบอัตโนมัติ ควรเปิดใช้งานและทดสอบว่าทำงานได้จริงตามที่คาดไว้

ปัญหา: ผู้สมัครติดต่อขอลบข้อมูลแต่ไม่มีใครรับผิดชอบตอบกลับ

อาการที่พบ

ผู้สมัครส่งอีเมลมาขอให้ลบเรซูเม่ของตนเอง แต่อีเมลถูกส่งไปยังกล่องจดหมายกลางที่ไม่มีใครเช็คเป็นประจำ หรือถูกส่งต่อไปมาระหว่างแผนกโดยไม่มีใครดำเนินการจริง

สาเหตุที่พบบ่อย

องค์กรไม่มีช่องทางหรือผู้รับผิดชอบที่ชัดเจนสำหรับคำขอลักษณะนี้ และไม่มีขั้นตอนภายในกำหนดไว้ว่าเมื่อได้รับคำขอแล้วต้องส่งต่อให้ใครดำเนินการต่อ

วิธีตรวจสอบ

ทดลองส่งคำขอทดสอบผ่านช่องทางที่ประกาศไว้ในเว็บไซต์สมัครงาน แล้วจับเวลาว่าใช้เวลานานเท่าใดกว่าจะมีการตอบกลับ หากไม่มีการตอบกลับภายในเวลาที่เหมาะสม แสดงว่าขั้นตอนภายในยังไม่ทำงานจริง

วิธีแก้ไข

กำหนดอีเมลกลางที่มีเจ้าของรับผิดชอบชัดเจนพร้อมขั้นตอนภายในว่าเมื่อได้รับคำขอแล้วต้องดำเนินการอย่างไรและภายในกรอบเวลาใด และเตรียม Template อีเมลตอบกลับไว้ล่วงหน้าเพื่อให้ตอบสนองได้เร็วขึ้นเมื่อได้รับคำขอจริง

ปัญหา: ข้อมูลผู้แนะนำ (Referral) ถูกใช้โดยที่เจ้าของข้อมูลไม่รู้ตัว

อาการที่พบ

บุคคลที่ถูกพนักงานแนะนำเข้าโปรแกรม Referral ได้รับการติดต่อจาก HR โดยไม่รู้ว่าเบอร์โทรหรืออีเมลของตนถูกส่งเข้าระบบตั้งแต่เมื่อใด

สาเหตุที่พบบ่อย

โปรแกรม Referral มักออกแบบมาให้พนักงานกรอกข้อมูลผู้ถูกแนะนำได้ทันทีโดยไม่มีขั้นตอนแจ้งเตือนหรือกำหนดให้พนักงานแจ้งผู้ถูกแนะนำก่อน

วิธีตรวจสอบ

ทบทวนขั้นตอนของโปรแกรม Referral ว่ามีจุดใดที่กำหนดให้พนักงานแจ้งผู้ถูกแนะนำก่อนหรือไม่ และตรวจสอบว่า HR มีสคริปต์แนะนำที่มาของข้อมูลเมื่อติดต่อครั้งแรกหรือไม่

วิธีแก้ไข

เพิ่มขั้นตอนในระบบ Referral ให้เตือนพนักงานว่าควรแจ้งผู้ถูกแนะนำก่อนกรอกข้อมูล และเตรียมสคริปต์มาตรฐานให้ทีม HR ใช้แนะนำที่มาของข้อมูลตั้งแต่ประโยคแรกที่ติดต่อ

ปัญหา: เอกสารอ่อนไหวของผู้สมัครถูกเข้าถึงโดยพนักงานที่ไม่เกี่ยวข้อง

อาการที่พบ

พนักงาน HR ที่ไม่ได้มีหน้าที่เกี่ยวข้องกับตำแหน่งงานเฉพาะ เช่น พนักงานขับรถหรือแม่บ้าน สามารถเปิดดูใบรับรองแพทย์หรือประวัติอาชญากรรมของผู้สมัครได้จากโฟลเดอร์รวม

สาเหตุที่พบบ่อย

เอกสารอ่อนไหวถูกจัดเก็บปะปนกับใบสมัครทั่วไปในโฟลเดอร์เดียวกันโดยไม่มีการแยกชั้นการเข้าถึง

วิธีตรวจสอบ

สุ่มตรวจโฟลเดอร์หรือระบบจัดเก็บเรซูเม่ว่ามีเอกสารประเภทใบรับรองแพทย์หรือประวัติอาชญากรรมปะปนอยู่กับใบสมัครทั่วไปหรือไม่ และตรวจว่าใครมีสิทธิ์เข้าถึงโฟลเดอร์นั้นบ้าง

วิธีแก้ไข

ย้ายเอกสารอ่อนไหวไปยังโฟลเดอร์หรือระบบแยกต่างหากที่จำกัดสิทธิ์เข้าถึงเฉพาะผู้ที่จำเป็นต้องใช้งานจริง และกำหนดเป็นขั้นตอนมาตรฐานสำหรับตำแหน่งงานที่ต้องขอเอกสารลักษณะนี้ในอนาคต

ปัญหา: ผู้ให้บริการภายนอกไม่ยืนยันการลบข้อมูลผู้สมัครหลังหมดสัญญา

อาการที่พบ

องค์กรเปลี่ยนผู้ให้บริการระบบ ATS หรือบริษัทตรวจสอบประวัติแล้ว แต่ไม่มีเอกสารหรือหลักฐานยืนยันว่าข้อมูลผู้สมัครที่เคยส่งให้ผู้ให้บริการเดิมถูกลบออกจากระบบของเขาจริง

สาเหตุที่พบบ่อย

สัญญาว่าจ้างผู้ให้บริการภายนอกมักเน้นเงื่อนไขด้านราคาและระยะเวลาการให้บริการ แต่ไม่ได้ระบุข้อกำหนดเรื่องการลบข้อมูลเมื่อสิ้นสุดสัญญาไว้อย่างชัดเจน ทำให้เมื่อเปลี่ยนผู้ให้บริการ ไม่มีขั้นตอนบังคับให้ผู้ให้บริการเดิมส่งหลักฐานการลบกลับมา

วิธีตรวจสอบ

ทบทวนสัญญากับผู้ให้บริการภายนอกทุกรายที่เคยได้รับข้อมูลผู้สมัคร ว่ามีข้อกำหนดเรื่องการลบข้อมูลเมื่อสิ้นสุดสัญญาหรือไม่ และตรวจสอบว่าผู้ให้บริการที่หมดสัญญาไปแล้วเคยส่งหลักฐานการลบข้อมูลกลับมาให้องค์กรหรือไม่

วิธีแก้ไข

เพิ่มข้อกำหนดเรื่องการลบข้อมูลเมื่อสิ้นสุดสัญญาไว้ในสัญญาฉบับใหม่ทุกฉบับ พร้อมกำหนดให้ผู้ให้บริการต้องส่งหนังสือยืนยันการลบข้อมูลเป็นลายลักษณ์อักษรภายในระยะเวลาที่กำหนดหลังสิ้นสุดสัญญา และเก็บหนังสือยืนยันนั้นไว้เป็นหลักฐานสำหรับการตรวจสอบในอนาคต

ปัญหา: ประกาศรับสมัครงานภาษาไทยและภาษาอังกฤษให้ข้อมูลเรื่องความเป็นส่วนตัวไม่ตรงกัน

อาการที่พบ

ผู้สมัครต่างชาติร้องเรียนว่าประกาศรับสมัครงานฉบับภาษาอังกฤษไม่มีข้อความเรื่องการเก็บและใช้ข้อมูลส่วนบุคคล ทั้งที่ฉบับภาษาไทยมีข้อความนี้ครบถ้วน

สาเหตุที่พบบ่อย

ทีมงานที่แปลประกาศรับสมัครเป็นภาษาอังกฤษมักเน้นแปลเนื้อหาตำแหน่งงานและคุณสมบัติ แต่ละเลยส่วนที่เกี่ยวข้องกับความเป็นส่วนตัว เพราะมองว่าเป็นข้อความมาตรฐานที่ไม่จำเป็นต้องแปลให้ครบ

วิธีตรวจสอบ

เทียบเนื้อหาส่วนที่เกี่ยวกับความเป็นส่วนตัวในประกาศรับสมัครทุกภาษาที่องค์กรใช้งานอยู่ว่ามีข้อความครบถ้วนตรงกันหรือไม่ โดยเฉพาะประกาศที่โพสต์ผ่านแพลตฟอร์มหางานต่างประเทศ

วิธีแก้ไข

กำหนดให้ข้อความเรื่องความเป็นส่วนตัวเป็นส่วนบังคับที่ต้องแปลครบทุกภาษาเช่นเดียวกับเนื้อหาตำแหน่งงาน และมอบหมายให้ผู้รับผิดชอบตรวจทานความสอดคล้องระหว่างฉบับภาษาก่อนเผยแพร่ทุกครั้ง

เมื่อใดควรส่งต่อให้ผู้เชี่ยวชาญด้านกฎหมายหรือ Security

ปัญหาบางอย่างที่พบระหว่างการตรวจสอบอาจเกินขอบเขตที่ทีม HR แก้ไขได้เอง เช่น กรณีที่พบว่าข้อมูลผู้สมัครรั่วไหลออกไปนอกองค์กรแล้ว หรือกรณีที่ไม่แน่ใจว่าการเก็บข้อมูลบางประเภทมีฐานทางกฎหมายรองรับหรือไม่ ในสถานการณ์เหล่านี้ควรส่งต่อให้ฝ่ายกฎหมายหรือผู้เชี่ยวชาญด้าน Security ประเมินร่วมด้วย แทนที่จะแก้ไขปัญหาเฉพาะหน้าโดยไม่ทราบขอบเขตความเสี่ยงที่แท้จริง

เช็กลิสต์ปฏิบัติ

• ขอรายการสิทธิ์เข้าถึงระบบ ATS มาเทียบกับตำแหน่งงานที่แต่ละคนรับผิดชอบจริง
• สุ่มตรวจอายุของเรซูเม่เก่าที่สุดในระบบเทียบกับนโยบายเก็บรักษาข้อมูล
• ทดลองส่งคำขอลบข้อมูลผ่านช่องทางที่ประกาศไว้เพื่อทดสอบเวลาตอบกลับจริง
• ทบทวนขั้นตอนโปรแกรม Referral ว่ามีการแจ้งผู้ถูกแนะนำก่อนหรือไม่
• ตรวจสอบว่าเอกสารอ่อนไหวถูกแยกเก็บจากใบสมัครทั่วไปหรือปะปนกันอยู่
• ทบทวนสัญญาผู้ให้บริการภายนอกว่ามีข้อกำหนดเรื่องการลบข้อมูลเมื่อสิ้นสุดสัญญาหรือไม่
• เทียบเนื้อหาส่วนความเป็นส่วนตัวในประกาศรับสมัครงานทุกภาษาว่าตรงกันหรือไม่
• บันทึกปัญหาที่พบทั้งหมดพร้อมผู้รับผิดชอบและกำหนดเวลาแก้ไขที่ชัดเจน

ข้อผิดพลาดที่พบบ่อยเมื่อแก้ปัญหา

• แก้ปัญหาเฉพาะหน้าโดยไม่ตรวจสอบว่าเกิดจากการตั้งค่าระบบหรือขั้นตอนภายใน
• ปิดสิทธิ์เข้าถึงเฉพาะรายที่ถูกร้องเรียน แต่ไม่ตรวจสอบรายอื่นที่มีปัญหาเดียวกัน
• ไม่มีการบันทึกปัญหาที่พบไว้เป็นหลักฐาน ทำให้ปัญหาเดิมเกิดซ้ำในภายหลัง

สรุป

ปัญหา PDPA บนหน้าสมัครงานส่วนใหญ่ไม่ได้เกิดจากเหตุการณ์ใหญ่ครั้งเดียว แต่สะสมจากการตั้งค่าที่ไม่เคยถูกทบทวนตั้งแต่วันติดตั้งระบบ การตรวจสอบต้นตอก่อนแก้ไขและบันทึกปัญหาที่พบไว้เป็นระบบช่วยลดโอกาสที่ปัญหาเดิมจะเกิดซ้ำ หากยังไม่แน่ใจว่าองค์กรมีความเสี่ยงจุดใดที่ควรตรวจก่อน อ่านเพิ่มเติมได้ที่ 10 ข้อผิดพลาดเรื่อง PDPA บนหน้าสมัครงาน และดูแนวทางป้องกันปัญหาระยะยาวได้ที่ แนวทางปฏิบัติด้าน PDPA สำหรับหน้าสมัครงาน องค์กรที่ต้องการตรวจสอบความพร้อมเบื้องต้นสามารถเริ่มจาก เครื่องมือตรวจสอบ PDPA เบื้องต้น

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)