หลายคนทราบอยู่แล้วว่า PDPA เป็นกฎหมายที่สำคัญ แต่จะเกี่ยวข้องกับ HR อย่างไรและองค์กรจะดูแลข้อมูลอย่างไรให้สอดคล้องกับ PDPA มาหาคำตอบกันในบทความนี้

บทความเกี่ยวข้องที่คุณอาจสนใจ :

บทบาทของ PDPA ในองค์กร

กฎหมาย PDPA หลายคนเคยรู้จักกันมาบ้างแล้ว ที่หลักๆ เป็นเรื่องเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลและเมื่อกฎหมาย PDPA ถูกบังคับใช้อย่างเต็มรูปแบบ โดยกำหนดให้ธุรกิจและองค์กรมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งมีหน้าที่ต่อเจ้าของข้อมูลส่วนบุคคล ไม่ว่าจะเป็นลูกค้า พนักงานองค์กรหรือคู่ค้าธุรกิจ ที่ได้จัดเก็บข้อมูลส่วนบุคคลไว้ด้วยความยินยอมนั้น ให้มีมาตรการรักษาความปลอดภัยข้อมูลส่วนตัวด้วย

ซึ่งแน่นอนว่าทุกแผนกในองค์กรทั้งหมด ล้วนมีความเกี่ยวข้องกับการใช้ข้อมูลส่วนตัวนี้ ไม่ว่าจะเป็น แผนก IT กฎหมาย HR ฝ่ายการเงิน หรือการตลาด เป็นต้น ดังนั้นบุคลากรในองค์กรทุกๆ ฝ่ายควรมีความรู้ความเข้าใจเกี่ยวกับกฎหมาย PDPA เพื่อการใช้งานข้อมูลส่วนตัว หรือการเก็บข้อมูลส่วนตัว หรือการเปิดเผยข้อมูลต่างๆ อย่างถูกต้องตามกฎหมาย

ทำไมต้องทำ PDPA กับ HR ในองค์กร

จะเห็นได้ว่าฝ่ายบุคคล หรือ สายงาน HR มีหน้าที่หลากหลาย ตั้งแต่ HR Recruitment งานพัฒนาบุคลากร งานคำนวณเงินเดือน หรืองานทะเบียนเอกสารต่างๆ ทำให้ต้องเป็นฝ่ายที่บริหารจัดการข้อมูลมากมาย ทั้งข้อมูลจากผู้สมัครงาน ข้อมูลของบุคลากรในองค์กรเอง จึงเป็นที่มาว่าฝ่ายบุคคลหรือ HR นั้น เป็นฝ่ายที่เกี่ยวข้องกับ PDPA มากที่สุด ตัวอย่างเช่น สำเนาเอกสารต่างๆ ในการสมัครงาน ข้อมูลส่วนตัวพนักงาน Resume และ Portfolio เป็นต้น ทำให้ HR จำเป็นต้องมีความรู้ เพื่อบริหารจัดการข้อมูลต่างๆ ให้สอดคล้องกับกฎหมาย PDPA ได้อย่างถูกต้อง โดยตัวอย่างงานของ HR ที่เกี่ยวข้องกับ PDPA มีดังนี้

การรับสมัครงาน

HR นักสรรหาที่ทำหน้าที่เกี่ยวกับการรับสมัครงานนั้น จำเป็นต้องเกี่ยวข้องกับข้อมูลส่วนตัวผู้สมัครอย่างหลีกเลี่ยงไม่ได้ ดังนั้น จึงต้องบริหารจัดการข้อมูลส่วนตัวของผู้สมัครอย่างระมัดระวัง เพื่อปกป้องข้อมูลให้ถูกต้องตามกฎหมาย PDPA โดยมีแนวกทางดังนี้

1. รวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็น

องค์กรควรรวบรวมข้อมูลส่วนบุคคลของผู้สมัครงานเท่าที่จำเป็นเท่านั้น เพื่อวัตถุประสงค์ในการคัดเลือกพนักงานเข้าทำงาน โดยควรพิจารณาถึงวัตถุประสงค์ในการคัดเลือกพนักงานและความจำเป็นของข้อมูลส่วนบุคคลที่รวบรวม

ตัวอย่างข้อมูลส่วนบุคคลที่องค์กรอาจรวบรวมจากผู้สมัครงาน ได้แก่ ชื่อ นามสกุล ที่อยู่ หมายเลขบัตรประจำตัวประชาชน ประวัติการศึกษา ประวัติการทำงาน ประวัติอาชญากรรม และข้อมูลอื่นๆ ที่จำเป็นในการคัดเลือกพนักงานเข้าทำงาน

2. ขอความยินยอมจากผู้สมัครงาน

องค์กรควรขอความยินยอมจากผู้สมัครงานในการรวบรวม ใช้ เปิดเผย และเก็บรักษาข้อมูลส่วนบุคคล โดยความยินยอมต้องเป็นไปตามหลักเกณฑ์ของกฎหมาย PDPA

ตัวอย่างข้อความขอความยินยอมจากผู้สมัครงาน ได้แก่ ข้าพเจ้าขอให้ความยินยอมแก่ [ชื่อองค์กร] ในการรวบรวม ใช้ เปิดเผย และเก็บรักษาข้อมูลส่วนบุคคลของข้าพเจ้า เพื่อวัตถุประสงค์ในการคัดเลือกพนักงานเข้าทำงาน

3. แจ้งให้ทราบถึงสิทธิของเจ้าของข้อมูลส่วนบุคคล

องค์กรควรแจ้งให้ทราบถึงสิทธิของเจ้าของข้อมูลส่วนบุคคลภายใต้กฎหมาย PDPA เช่น สิทธิในการเข้าถึงข้อมูลส่วนบุคคล สิทธิในการขอแก้ไขข้อมูลส่วนบุคคล และสิทธิในการลบข้อมูลส่วนบุคคล

4. จัดเก็บข้อมูลส่วนบุคคลอย่างปลอดภัย

องค์กรควรจัดเก็บข้อมูลส่วนบุคคลของผู้สมัครงานอย่างปลอดภัย โดยต้องจัดเก็บในสถานที่ที่ปลอดภัย และป้องกันมิให้มีการเข้าถึงข้อมูลโดยบุคคลที่ไม่ได้รับอนุญาต

5. ใช้ข้อมูลส่วนบุคคลเท่าที่จำเป็น

องค์กรควรใช้ข้อมูลส่วนบุคคลของผู้สมัครงานเท่าที่จำเป็นเท่านั้น และไม่ควรใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ในการคัดเลือกพนักงานเข้าทำงาน

6. ลบข้อมูลส่วนบุคคลเมื่อพ้นความจำเป็น

องค์กรควรลบข้อมูลส่วนบุคคลของผู้สมัครงานเมื่อพ้นความจำเป็นในการเก็บรักษาข้อมูลส่วนบุคคล โดยควรลบข้อมูลส่วนบุคคลภายในระยะเวลาที่เหมาะสม

แนวทางปฏิบัติในการจัดการข้อมูลการสมัครงานให้ถูก PDPA

จัดทำแบบฟอร์มใบสมัครงาน

แบบฟอร์มใบสมัครงานควรระบุข้อมูลส่วนบุคคลที่จำเป็นเท่านั้น และควรมีข้อความขอความยินยอมจากผู้สมัครงานในการรวบรวม ใช้ เปิดเผย และเก็บรักษาข้อมูลส่วนบุคคล

จัดเก็บข้อมูลการสมัครงาน

องค์กรควรจัดเก็บข้อมูลการสมัครงานในสถานที่ที่ปลอดภัย และควรกำหนดสิทธิในการเข้าถึงข้อมูลการสมัครงาน

ใช้ข้อมูลการสมัครงาน

องค์กรควรใช้ข้อมูลการสมัครงานเท่าที่จำเป็นเท่านั้น และไม่ควรใช้ข้อมูลการสมัครงานเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ในการคัดเลือกพนักงานเข้าทำงาน

ลบข้อมูลการสมัครงาน

องค์กรควรลบข้อมูลการสมัครงานเมื่อพ้นความจำเป็นในการเก็บรักษาข้อมูลส่วนบุคคล

การบริหารทรัพยากรบุคคล

งานด้านการบริหารทรัพยากรบุคคลของ HR นั้น จะมีทั้งการจัดเก็บข้อมูลส่วนบุคคลของพนักงานตั้งแต่ระดับปฎิบัติการไปจนถึงผู้บริหาร ไม่ว่าจะเป็น ชื่อ นามสกุล และประวัติต่างๆ โดยการบริหารจัดการข้อมูลในด้านนี้ตาม PDPA นั้นจะดำเนินการผ่านสัญญาจ้างงาน ซึ่งจะต้องแจ้งรายละเอียดการขอเก็บข้อมูลส่วนตัว ไม่ว่าจะในรูปแบบใด หรือระยะเวลาเท่าใด ข้อมูลใดบ้างที่ใช้กับบริษัทในเครือได้ และหากมีการขอเก็บข้อมูลเพิ่มเติมนั้น จะต้องขอความยินยอมและแจ้งวัตถุประสงค์ในการใช้ขอมูลให้ชัดเจน

นอกจากนี้การจัดเก็บข้อมูลอื่นๆ ไม่ว่าจะเป็นข้อมูลด้านสุขภาพ สำหรับการลางานตามกฎหมายแรงงาน หรือเพื่อเบิกค่ารักษาพยาบาลจากประกันสังคม หรือการจัดเก็บลายนิ้วมือ การจัดเก็บข้อมูลเพื่อสแกนใบหน้าสำหรับการลงเวลาเข้า-ออกงานนั้น ควรจัดเก็บข้อมูลเท่าที่จำเป็นและมีระบบการจัดเก็บข้อมูลส่วนตัวนี้ให้ปลอดภัยตามมาตรฐาน

การฝึกอบรม

อีกหนึ่งหน้าที่ที่ HR ต้องทำคือการจัดฝึกอบรม PDPA Awareness ให้แก่บุคลากรทุกภาคส่วนในบริษัท เพื่อให้บุคลากรเพื่อให้ทราบเกี่ยวกับกฎหมาย PDPA พร้อมกับปฎิบัติตามและปกป้องข้อมูลได้อย่างถูกต้อง ทำให้ลดความเสี่ยงในการละเมิด PDPA และช่วยสร้างวัฒนธรรมความเป็นส่วนตัวของข้อมูลให้ดีขึ้น

สรุป PDPA กับ HR ในองค์กร

HR เป็นแผนกสำคัญที่อยู่ในฐานะผู้ควบคุมข้อมูลตามกฎหมาย PDPA เพราะ เป็นผู้เก็บรวบรวมข้อมูล และรักษาข้อมูลส่วนตัวของบุคลากรทั้งหมด โดยเฉพาะข้อมูลส่วนบุคคลที่อ่อนไหว เช่น ประวัติสุขภาพ ข้อมูลประกันสังคม เชื้อชาติ และข้อมูลทางชีวิมิติ (Face ID, ลายนิ้วมือ) จึงต้องเป็นแผนกที่มีความรู้ด้าน PDPA เพื่อบริหารจัดการข้อมูลให้สอดคล้องกับกฎหมาย และมีความปลอดภัยของข้อมูลตามมาตรฐานการจัดเก็บข้อมูล PDPA ด้วย

นอกจากนี้ การบริหารจัดเก็บข้อมูลส่วนตัวให้มีความปลอดภัยตามมาตรฐาน พร้อมกับมีความสะดวกในการเรียกใช้งานข้อมูล สามารถทำได้ด้วยการใช้โปรแกรมบริหางานบุคคล HumanSoft ที่มีการจัดเก็บข้อมูลอย่างปลอดภัยผ่านระบบคลาวด์ตามมารตฐานสากล ทำให้เรียกใช้ข้อมูลได้ทุกที่ ทุกเวลา พร้อมกับระบบบริหารจัดการครบทุกด้านสำหรับงาน HR ช่วยให้ HR หมดกังวลเรื่องการรั่วไหลของข้อมูล หรือการละเมิด PDPA ไปได้อย่างสบายใจ