ทำไมความเสี่ยงด้าน PDPA จึงกระจุกตัวอยู่ที่งาน HR
ฐานข้อมูลลูกค้าของบริษัทมักได้รับความสนใจเรื่อง PDPA มากที่สุด แต่แฟ้มข้อมูลพนักงานกลับมีความเสี่ยงสูงกว่า เพราะในนั้นเก็บทั้งเอกสารยืนยันตัวตน รายละเอียดบัญชีธนาคาร ข้อมูลครอบครัว ประวัติสุขภาพ ผลการประเมินผลการปฏิบัติงาน ประวัติการลงโทษทางวินัย และที่เพิ่มมากขึ้นเรื่อย ๆ คือข้อมูลชีวมิติจากเครื่องบันทึกเวลาเข้า-ออกงาน
นอกจากนี้ ข้อมูลพนักงานยังเป็นข้อมูลที่มีแนวโน้มสูงสุดที่จะถูกเรียกดูเมื่อเกิดข้อพิพาท พนักงานที่ยื่นข้อเรียกร้องกรณีถูกเลิกจ้างอาจถามว่าบริษัทเก็บข้อมูลอะไรเกี่ยวกับตนไว้บ้าง และนำข้อมูลนั้นไปใช้อย่างไร
1. ฐานทางกฎหมาย: ความยินยอมมักไม่ใช่คำตอบ
การประมวลผลด้าน HR ส่วนใหญ่ตั้งอยู่บนฐานอื่นที่ไม่ใช่ความยินยอม:
| การประมวลผล | ฐานทางกฎหมายที่มักใช้ |
|---|---|
| เงินเดือน สัญญา และการลา | การปฏิบัติตามสัญญาจ้างแรงงาน |
| ภาษี ประกันสังคม ทะเบียนแรงงาน | หน้าที่ตามกฎหมาย |
| ความปลอดภัย กล้องวงจรปิด (CCTV) การตรวจสอบระบบไอที | ประโยชน์โดยชอบด้วยกฎหมาย โดยชั่งน้ำหนักกับสิทธิของพนักงาน |
| โครงการตามความสมัครใจ ภาพถ่ายเพื่อการตลาด | ความยินยอม |
ความยินยอมที่พนักงานให้แก่นายจ้างนั้นแทบไม่ถือว่าเป็นการให้โดยอิสระอย่างเต็มที่ และสามารถถอนได้ การอาศัยความยินยอมดังกล่าวในการประมวลผลที่บริษัทจำเป็นต้องทำจริงย่อมก่อให้เกิดปัญหาในวันที่พนักงานถอนความยินยอม
2. ข้อมูลส่วนบุคคลอ่อนไหว
ข้อมูลบางประเภทต้องได้รับความยินยอมโดยชัดแจ้ง หรือเข้าข้อยกเว้นตามกฎหมายเฉพาะ ดังนี้
- ข้อมูลด้านสุขภาพ — ใบรับรองแพทย์ ผลการตรวจสุขภาพก่อนเข้าทำงาน รายละเอียดการลาป่วย
- ข้อมูลชีวมิติ (biometric data) — เครื่องบันทึกเวลาด้วยการสแกนลายนิ้วมือหรือสแกนใบหน้า ระบบควบคุมการเข้าออก
- ข้อมูลประวัติอาชญากรรม — การตรวจสอบประวัติก่อนจ้างงาน
- ศาสนา ชาติพันธุ์ ความพิการ
สำหรับข้อมูลแต่ละประเภท ต้องระบุฐานทางกฎหมายที่ใช้ จำกัดผู้ที่มีสิทธิเข้าถึง และกำหนดระยะเวลาการเก็บรักษาไว้ให้ชัดเจน รวมทั้งจัดให้มีทางเลือกในกรณีที่อาศัยความยินยอมเป็นฐาน เช่น ออกบัตรสำหรับพนักงานที่ไม่ประสงค์จะใช้ระบบบันทึกเวลาด้วยข้อมูลชีวมิติ เป็นต้น
3. ประกาศความเป็นส่วนตัวสำหรับพนักงาน
พนักงานจำเป็นต้องได้รับประกาศที่อธิบายว่า:
- เก็บรวบรวมข้อมูลใดบ้าง และเก็บจากแหล่งใด
- เก็บไปเพื่อเหตุใด และบนฐานทางกฎหมายใด
- ข้อมูลถูกเปิดเผยให้แก่ใคร — ผู้ให้บริการด้านเงินเดือน บริษัทประกันภัย บริษัทแม่
- มีการส่งข้อมูลไปยังต่างประเทศหรือไม่
- ข้อมูลถูกเก็บรักษาไว้นานเท่าใด
- พนักงานสามารถใช้สิทธิของตนได้อย่างไร
ประกาศฉบับนี้แยกต่างหากจากประกาศความเป็นส่วนตัวของลูกค้าบนเว็บไซต์ ดู รายการตรวจสอบการปฏิบัติตาม PDPA สำหรับโครงการในภาพรวม
4. ผู้สมัครงาน
ผู้สมัครงานถือเป็นเจ้าของข้อมูลส่วนบุคคลก่อนที่จะกลายเป็นลูกจ้าง:
- แจ้งให้ผู้สมัครทราบว่าข้อมูลของพวกเขาถูกนำไปใช้อย่างไรในกระบวนการรับสมัครงาน
- เก็บรวบรวมเฉพาะข้อมูลที่จำเป็นต่อการคัดเลือกเท่านั้น
- อย่าตรวจสอบประวัติหรือตรวจสุขภาพก่อนที่การตรวจสอบนั้นจะเกี่ยวข้อง
- เก็บรักษาประวัติย่อ (CV) ของผู้สมัครที่ไม่ผ่านการคัดเลือกไว้เพียงตามระยะเวลาที่ระบุไว้เท่านั้น หรือเก็บไว้เพื่อเป็นฐานข้อมูลผู้สมัครที่มีศักยภาพ (talent pool) โดยได้รับความยินยอม
5. กล้องวงจรปิด (CCTV) และการเฝ้าติดตามในสถานที่ทำงาน
กล้องวงจรปิด (CCTV) โดยทั่วไปถือว่ายอมรับได้เพื่อวัตถุประสงค์ด้านความมั่นคงและความปลอดภัย หากมี:
- ป้ายประกาศที่มองเห็นได้ชัดเจน ณ ทางเข้าและบริเวณที่ถูกเฝ้าติดตาม
- วัตถุประสงค์ที่กำหนดไว้ชัดเจนและระยะเวลาการเก็บรักษา
- การจำกัดการเข้าถึงข้อมูลบันทึกภาพ
- ไม่ติดตั้งกล้องในพื้นที่ส่วนตัว
การตรวจสอบอีเมล อุปกรณ์ และการใช้งานอินเทอร์เน็ต ต้องมีนโยบายเป็นลายลักษณ์อักษร วัตถุประสงค์ที่ชัดเจน และความได้สัดส่วน การเฝ้าติดตามทุกอย่าง ตลอดเวลา โดยไม่แจ้งพนักงาน เป็นรูปแบบที่ใช้ไม่ได้
การใช้กล้องวงจรปิดหรือข้อมูลจากการเฝ้าติดตามเพื่อวัตถุประสงค์นอกเหนือจากที่ได้แจ้งไว้ เช่น การบริหารผลการปฏิบัติงาน ควรตัดสินใจไว้ล่วงหน้าและสะท้อนอยู่ในประกาศแจ้ง
6. การเปิดเผยข้อมูลให้แก่บริษัทแม่และผู้ให้บริการภายนอก
- การเข้าถึงข้อมูลโดยบริษัทแม่ และระบบทรัพยากรบุคคลที่โฮสต์อยู่ในต่างประเทศถือเป็น การโอนข้อมูลข้ามพรมแดน ซึ่งต้องมีฐานทางกฎหมายและมาตรการคุ้มครองที่เหมาะสม
- ผู้ให้บริการรับจ่ายเงินเดือน ซอฟต์แวร์ด้านทรัพยากรบุคคล บริษัทประกันภัย และบริษัทจัดหาบุคลากร มีสถานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลหรือผู้ควบคุมข้อมูลส่วนบุคคลแยกต่างหาก จึงควรกำหนดข้อสัญญาว่าด้วยการประมวลผลข้อมูลไว้ในสัญญาที่ทำกับบุคคลเหล่านี้
- บันทึกว่าผู้ใดได้รับข้อมูลของพนักงานและด้วยเหตุผลใด
7. คำขอและการโต้แย้งของลูกจ้าง
ลูกจ้างสามารถขอเข้าถึงข้อมูลของตน ขอแก้ไขข้อมูล และในบางกรณีขอให้ลบข้อมูลได้ คำขอดังกล่าวมักเข้ามาในช่วงที่มีข้อพิพาท จึงควรมีขั้นตอนปฏิบัติไว้ ดังนี้ ตรวจสอบตัวตน ค้นหาข้อมูลในทุกระบบ ตอบกลับภายในระยะเวลาที่กฎหมายกำหนด และขอคำปรึกษาในกรณีที่คำขอทับซ้อนกับข้อเรียกร้อง
8. การละเมิด
- ประเมินความเสี่ยงทันที
- หากการละเมิดนั้นมีแนวโน้มที่จะกระทบต่อสิทธิของบุคคล ให้แจ้งหน่วยงานกำกับดูแลโดยไม่ชักช้า ภายใน 72 ชั่วโมง นับแต่เวลาที่ทราบเรื่อง เท่าที่สามารถดำเนินการได้
- หากความเสี่ยงอยู่ในระดับสูง ให้แจ้งพนักงานที่ได้รับผลกระทบ พร้อมทั้งมาตรการที่กำลังดำเนินการอยู่
- ให้เก็บบันทึกการละเมิดทุกครั้ง ไม่ว่าได้แจ้งหรือไม่ก็ตาม
9. การเก็บรักษาข้อมูล
กำหนดระยะเวลาการเก็บรักษาข้อมูลสำหรับแต่ละประเภท และปฏิบัติตามอย่างจริงจัง กฎหมายแรงงานและกฎหมายภาษีอากรกำหนดให้ต้องเก็บรักษาบันทึกบางประเภทไว้ นอกเหนือจากนั้น การเก็บข้อมูลไว้ "เผื่อเอาไว้ก่อน" ถือเป็นความเสี่ยงที่ไร้ประโยชน์
รายการตรวจสอบด้านทรัพยากรบุคคล
- จัดทำแผนผังข้อมูลพนักงานที่มีอยู่ ข้อมูลจัดเก็บไว้ที่ใด และผู้ใดสามารถเข้าถึงได้
- กำหนดฐานทางกฎหมายให้กับแต่ละกิจกรรมการประมวลผล
- ระบุข้อมูลอ่อนไหวและฐานทางกฎหมายรองรับ พร้อมเสนอทางเลือกอื่นในกรณีที่มีการใช้ความยินยอม
- ออกประกาศความเป็นส่วนตัวสำหรับพนักงาน และประกาศความเป็นส่วนตัวสำหรับผู้สมัครงาน
- ทบทวนกล้องวงจรปิด (CCTV) และการตรวจติดตามต่าง ๆ เทียบกับนโยบายที่เป็นลายลักษณ์อักษร
- กำหนดข้อสัญญาว่าด้วยการประมวลผลข้อมูลในสัญญากับผู้ให้บริการ และในข้อตกลงระหว่างบริษัทในกลุ่ม
- กำหนดระยะเวลาการเก็บรักษาข้อมูล และขั้นตอนการรับมือคำขอใช้สิทธิ
- จัดทำแผนรับมือกรณีข้อมูลรั่วไหล
อ่านต่อ
- รายการตรวจสอบการปฏิบัติตาม PDPA
- กฎการทำงานที่นายจ้างทุกคนต้องมี
- การตรวจสอบการปฏิบัติตามกฎหมายแรงงานไทยสำหรับนายจ้าง
- สำหรับการตรวจสอบข้อมูลด้านทรัพยากรบุคคล พูดคุยกับทีมของเรา