PDPA กับข้อมูลพนักงาน — สิ่งที่ HR ต้องรู้ตั้งแต่รับสมัครจนถึงลาออก

ข้อมูล Sensitive Data ที่ HR มักละเลย

ตามมาตรา 26 ของ PDPA ข้อมูลอ่อนไหว (Sensitive Data) ต้องได้รับการคุ้มครองในระดับที่สูงกว่าข้อมูลส่วนบุคคลทั่วไป ต่อไปนี้คือ Sensitive Data ที่ HR มักจัดเก็บโดยไม่ตระหนักว่าต้องปฏิบัติตามเงื่อนไขพิเศษ

• ประวัติอาชญากรรม — การตรวจสอบประวัติอาชญากรรมก่อนจ้างงานต้องมีฐานกฎหมายรองรับ ไม่ใช่ทุกตำแหน่งที่จำเป็นต้องตรวจ ควรจำกัดเฉพาะตำแหน่งที่มีความจำเป็นจริง เช่น ตำแหน่งที่เกี่ยวข้องกับการเงินหรือความปลอดภัย
• ผลตรวจสุขภาพ — ใบรับรองแพทย์ที่แสดงผลตรวจโดยละเอียดถือเป็น Sensitive Data ควรเก็บเฉพาะผลสรุปว่าผ่านหรือไม่ผ่าน ไม่จำเป็นต้องเก็บรายละเอียดทางการแพทย์ทั้งหมด
• ศาสนา — หลายองค์กรเก็บข้อมูลศาสนาในแบบฟอร์มรับสมัครงานโดยไม่จำเป็น หากไม่ได้ใช้เพื่อจัดวันหยุดตามศาสนาหรือสวัสดิการเฉพาะ ก็ไม่ควรเก็บ
• ข้อมูลชีวภาพ (Biometric Data) — ลายนิ้วมือหรือการสแกนใบหน้าเพื่อบันทึกเวลาเข้า-ออกงาน ถือเป็น Sensitive Data ตามมาตรา 26 ต้องขอ explicit consent และต้องจัดให้มีทางเลือกอื่น เช่น บัตรพนักงาน สำหรับผู้ที่ไม่ยินยอม
• ข้อมูลสหภาพแรงงาน — การเป็นสมาชิกสหภาพแรงงานเป็น Sensitive Data ที่ห้ามนำมาใช้ในการตัดสินใจเรื่องการจ้างงาน เลื่อนตำแหน่ง หรือเลิกจ้าง
• ผลตรวจสารเสพติด — บางตำแหน่งอาจมีความจำเป็นต้องตรวจ แต่ผลตรวจถือเป็นข้อมูลสุขภาพ ต้องจัดการด้วยความระมัดระวังเป็นพิเศษ และจำกัดการเข้าถึงเฉพาะผู้ที่มีอำนาจตัดสินใจเท่านั้น

สิ่งที่ HR ต้องทำสำหรับ Sensitive Data ทุกประเภทคือ ขอ explicit consent แยกต่างหากจากแต่ละรายการ ระบุวัตถุประสงค์อย่างชัดเจน และจัดให้มีทางเลือกอื่นสำหรับพนักงานที่ไม่ยินยอม

---

10 ข้อผิดพลาดที่พบบ่อยในการจัดการข้อมูลพนักงาน

1. เก็บสำเนาบัตรประชาชนตลอดไป — ไม่กำหนด Retention Period และไม่ทำลายเมื่อหมดความจำเป็น

2. ส่งข้อมูลเงินเดือนผ่าน email โดยไม่เข้ารหัส — สลิปเงินเดือนที่ส่งเป็นไฟล์แนบธรรมดาอาจถูกดักอ่านได้ ควรใช้ระบบที่มีการเข้ารหัสหรือให้พนักงานเข้าถึงผ่านระบบ HR ที่มี authentication

3. ให้ vendor เข้าถึงข้อมูลพนักงานโดยไม่มี DPA — ผู้ให้บริการ payroll, ระบบ HR, หรือบริษัทตรวจสุขภาพ ล้วนเป็น Data Processor ต้องทำ Data Processing Agreement (DPA) ตามมาตรา 40

4. ใช้ consent เป็นฐานกฎหมายสำหรับทุกกรณี — การบังคับให้พนักงานลงนาม consent ในทุกเรื่อง ทำให้ consent ไม่ได้ให้โดยอิสระ และอาจถือว่าไม่สมบูรณ์ตามกฎหมาย

5. ไม่มี Privacy Notice สำหรับพนักงาน — หลายองค์กรมี Privacy Policy สำหรับลูกค้า แต่ลืมจัดทำ Privacy Notice สำหรับพนักงาน ซึ่งเป็นข้อบังคับตามมาตรา 23

6. เก็บข้อมูลเกินความจำเป็น — ถามข้อมูลที่ไม่เกี่ยวข้องกับงานในแบบฟอร์มรับสมัคร เช่น ชื่อ-อาชีพของพ่อแม่ สำหรับตำแหน่งที่ไม่ต้องตรวจสอบ

7. ไม่จำกัดสิทธิ์การเข้าถึงข้อมูล — พนักงาน HR ทุกคนเข้าถึงข้อมูลทั้งหมดได้ รวมถึงข้อมูลเงินเดือนและผลตรวจสุขภาพ ควรจัดระบบ Role-Based Access Control

8. ไม่มีกระบวนการรับมือคำขอใช้สิทธิ — เมื่อพนักงานร้องขอเข้าถึง แก้ไข หรือลบข้อมูล HR ไม่มีขั้นตอนปฏิบัติที่ชัดเจนและไม่สามารถดำเนินการได้ภายใน 30 วันตามที่กฎหมายกำหนด

9. โอนข้อมูลไปต่างประเทศโดยไม่มีมาตรการคุ้มครอง — การใช้ระบบ HR แบบ cloud ที่เซิร์ฟเวอร์อยู่ต่างประเทศ ถือเป็นการโอนข้อมูลข้ามแดน ต้องมั่นใจว่าประเทศปลายทางมีมาตรฐานคุ้มครองข้อมูลที่เพียงพอ หรือจัดให้มีมาตรการคุ้มครองที่เหมาะสมตามมาตรา 28

10. ไม่ฝึกอบรมพนักงาน HR — ทีม HR ที่จัดการข้อมูลโดยไม่เข้าใจ PDPA เป็นความเสี่ยงสูงสุดขององค์กร การอบรมควรทำอย่างน้อยปีละ 1 ครั้ง

---

Checklist สำหรับ HR: 8 ข้อที่ต้องทำ

เพื่อให้แน่ใจว่าองค์กรของคุณจัดการข้อมูลพนักงานสอดคล้องกับ PDPA ให้ตรวจสอบรายการต่อไปนี้

• จัดทำ Privacy Notice สำหรับพนักงาน ที่ระบุข้อมูลที่จัดเก็บ วัตถุประสงค์ ฐานกฎหมาย ระยะเวลาจัดเก็บ และสิทธิของพนักงานอย่างครบถ้วน
• จัดทำ Data Inventory และ ROPA สำรวจข้อมูลพนักงานทั้งหมดที่จัดเก็บ ระบุฐานกฎหมาย วัตถุประสงค์ และผู้รับข้อมูลสำหรับแต่ละรายการ
• จัดทำ Consent Form แยกต่างหาก สำหรับข้อมูลที่ต้องใช้ฐานความยินยอม โดยเฉพาะ Sensitive Data เช่น ข้อมูลชีวภาพ ผลตรวจสุขภาพ ประวัติอาชญากรรม
• กำหนด Retention Schedule ระบุระยะเวลาจัดเก็บข้อมูลแต่ละประเภทตามกฎหมายที่เกี่ยวข้อง พร้อมกระบวนการทำลายข้อมูลเมื่อครบกำหนด
• จัดทำ DPA กับ vendor ทุกราย ที่เข้าถึงข้อมูลพนักงาน ไม่ว่าจะเป็นผู้ให้บริการ payroll ระบบ HR cloud ที่ปรึกษาด้านภาษี หรือบริษัทตรวจสุขภาพ
• จัดระบบ Access Control กำหนดสิทธิ์การเข้าถึงข้อมูลตามบทบาทหน้าที่ จำกัดการเข้าถึง Sensitive Data เฉพาะผู้ที่มีความจำเป็น
• จัดทำกระบวนการรับมือคำขอใช้สิทธิ กำหนดขั้นตอน ผู้รับผิดชอบ และ SLA ในการตอบคำขอของพนักงาน ให้สามารถดำเนินการได้ภายใน 30 วัน
• จัดอบรม PDPA ให้ทีม HR อย่างน้อยปีละ 1 ครั้ง ครอบคลุมฐานกฎหมาย สิทธิเจ้าของข้อมูล การจัดการ Data Breach และ Best Practice ในการจัดการข้อมูลพนักงาน

---

แนวทางการจัดการ Data Breach ที่เกี่ยวกับข้อมูลพนักงาน

เหตุการณ์ Data Breach ที่เกี่ยวกับข้อมูลพนักงานอาจเกิดขึ้นได้หลายรูปแบบ เช่น อีเมลที่มีข้อมูลเงินเดือนถูกส่งผิดคน ระบบ HR ถูกแฮก หรือเอกสารกระดาษที่มีข้อมูลพนักงานสูญหาย HR ต้องเตรียมพร้อมรับมือดังนี้

• แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ภายใน 72 ชั่วโมง นับแต่ทราบเหตุ ตามมาตรา 37(4)
• แจ้งพนักงานที่ได้รับผลกระทบ โดยไม่ชักช้า หากการละเมิดมีความเสี่ยงสูงที่จะกระทบสิทธิเสรีภาพ
• บันทึกเหตุการณ์ รายละเอียดของ Breach มาตรการแก้ไข และแนวทางป้องกันไม่ให้เกิดซ้ำ
• ทบทวนมาตรการรักษาความปลอดภัย หลังเกิดเหตุทุกครั้ง เพื่อปิดช่องโหว่ที่พบ

การมีแผนรับมือ Data Breach (Incident Response Plan) ที่ชัดเจนจะช่วยให้องค์กรตอบสนองได้อย่างรวดเร็วและลดความเสียหายที่อาจเกิดขึ้น

---

สรุป

ฝ่าย HR เป็นหน่วยงานที่มีบทบาทสำคัญที่สุดในการปฏิบัติตาม PDPA ขององค์กร เพราะเป็นผู้จัดเก็บและประมวลผลข้อมูลส่วนบุคคลของพนักงานทุกคนตลอดวงจรชีวิตการจ้างงาน การจัดการที่ถูกต้องไม่เพียงช่วยให้องค์กรหลีกเลี่ยงบทลงโทษตาม PDPA ซึ่งมีโทษปรับสูงสุด 5 ล้านบาท แต่ยังสร้างความเชื่อมั่นให้กับพนักงานว่าข้อมูลของพวกเขาได้รับการดูแลอย่างเหมาะสม

หากต้องการประเมินความพร้อมขององค์กรในการปฏิบัติตาม PDPA สามารถใช้ แบบประเมิน PDPA Compliance ของเราเป็นจุดเริ่มต้น หรือศึกษาระบบ PrivacyHub ที่ช่วยให้องค์กรจัดการ consent, ROPA, Data Breach และคำขอใช้สิทธิได้ในแพลตฟอร์มเดียว

สำหรับองค์กรที่ต้องการคำปรึกษาเฉพาะทาง สามารถ ติดต่อ Enersys เพื่อพูดคุยกับทีมผู้เชี่ยวชาญด้าน PDPA ของเราได้โดยตรง