PDPA 與泰國人力資源管理：員工資料、閉路電視監控、求職者與職場監控

為什麼人力資源是 PDPA 風險集中的地方

公司的客戶資料庫往往最受 PDPA 關注。但員工資料的風險常常更高：其中存有身份證件、銀行資訊、家庭情況、健康記錄、績效考核、紀律處分記錄——以及越來越多來自考勤打卡裝置的生物識別資料。

這類資料也最有可能在爭議中被要求提供。處於解僱索賠中的員工可能會詢問公司掌握了他/她的哪些資訊，以及這些資訊是如何被使用的。

1. 合法依據：同意通常並非答案

大多數人力資源處理所依據的並非同意，而是其他依據：

員工向僱主作出的同意，很少被視為完全自由作出，且可以撤回。對於公司實際需要的處理活動依賴同意，會在員工撤回同意的那一天產生問題。

2. 敏感資料

某些類別的資料需要明確同意或特定的法律例外：

• 健康資料——醫療證明、入職前健康檢查、病假詳情
• 生物識別資料——指紋或人臉識別考勤機、門禁控制
• 犯罪記錄——背景調查
• 宗教、民族、殘疾

對於每一類資料，都要確定處理依據、限定可見人員範圍，並設定儲存期限。凡是以同意為依據的，應提供替代方案——例如為拒絕生物識別考勤的員工提供卡片打卡方式。

3. 員工隱私宣告

員工需要一份宣告，說明：

• 收集哪些資料以及資料來源
• 為何收集，以及依據何種合法性基礎
• 與誰共享——薪資服務提供商、保險公司、母公司
• 是否傳輸至境外
• 資料儲存多長時間
• 員工如何行使自身權利

本宣告與網站上的客戶隱私宣告相互獨立。有關更全面的合規方案，請參見 PDPA 合規檢查清單。

4. 求職者

求職者在成為員工之前，首先就是資料主體：

• 告知其資料在申請過程中如何被使用
• 僅收集選拔所需的資料
• 在背景調查或健康檢查具有相關性之前，不要進行這類檢查
• 未錄用者的簡歷僅保留至明確說明的期限，或在取得同意後存入人才庫

5. 閉路電視與工作場所監控

閉路電視（CCTV） 用於安保與安全目的通常是可以接受的，前提是：

• 在入口處及被監控區域設定醒目的告示
• 有明確的目的和儲存期限
• 對錄影的查閱許可權受到限制
• 不在私密區域安裝攝像頭

監控電子郵件、裝置及網際網路使用 需要書面政策、明確的目的以及符合比例原則。全天候、永久性地監控一切，且不告知員工，正是那種會出問題的做法。

將閉路電視或監控資料用於告知範圍之外的目的——例如績效管理——應當事先作出決定，並在告示中予以體現。

6. 與母公司及供應商共享

• 母公司訪問許可權以及託管在境外的 HR 系統均屬於跨境傳輸，需要具備合法依據和充分的保障措施
• 薪資服務提供商、HR 軟體商、保險公司和招聘機構可能是受託處理者，也可能是獨立的控制者；應在其合同中加入資料處理條款
• 記錄誰獲取員工資料以及獲取的原因

7. 員工請求與爭議

員工可以要求查閱其資料、要求更正，在某些情況下還可以要求刪除。這類請求往往在爭議期間提出。應當有一套流程：核實身份、在各系統中查詢資料、在法律允許的時限內作出回覆，並在請求與索賠相互重疊時徵求專業意見。

8. 違規事件

• 立即評估風險
• 若該違規事件可能影響個人權利，應在知悉後儘快通知監管機構，在可行的情況下於七十二小時內完成
• 若風險較高，應告知受影響的員工，並說明正在採取的措施
• 對每一起違規事件均須保留記錄，無論是否已通知

9. 資料保留

為每個類別設定保留期限並加以執行。勞動法和稅法要求必須保留某些記錄；除此之外，"以防萬一"而保留的資料是毫無意義的風險。

人力資源核對清單

1. 梳理所持有的員工資料、資料的存放位置以及誰可以訪問
2. 為每一項處理活動指定合法依據
3. 識別敏感資料及其依據；在以同意為依據的情況下，提供替代方案
4. 釋出員工隱私告知書和應聘者告知書
5. 對照書面政策審查閉路電視監控（CCTV）與其他監控措施
6. 在與供應商的協議及集團內部安排中加入資料處理條款
7. 設定儲存期限和請求處理流程
8. 制定資料洩露應對方案

接下來閱讀

• PDPA 合規檢查清單
• 每位僱主都需瞭解的工作規則
• 泰國勞動合規審計
• 如需進行人力資源資料審查，請聯絡我們的團隊