ขอประวัติอาชญากรรมผู้สมัครงานได้แค่ไหน ตามประกาศปี 2566

สมมติว่าคุณดูแลงานบุคคลของเครือร้านค้าปลีก และกำลังรับพนักงานใหม่ 40 ตำแหน่ง ใบสมัครแบบเดิมมีช่องหนึ่งให้ “แนบผลตรวจประวัติอาชญากรรม” ทุกตำแหน่ง ตั้งแต่แคชเชียร์ไปจนถึงพนักงานจัดเรียงสินค้า ผลตรวจที่ได้มาก็เย็บเข้าแฟ้มประวัติพนักงานไว้ตลอดอายุงาน

ใบสมัครแบบนี้มีปัญหาอย่างน้อยสามข้อ นับแต่ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566 มีผลเมื่อเดือนเมษายน 2567

ข้อแรก ขอจากทุกตำแหน่งโดยไม่ดูว่ามีฐานทางกฎหมายหรือไม่ ข้อสอง ไม่ได้แจ้งความจำเป็นไว้ตั้งแต่ประกาศรับสมัคร ข้อสาม เก็บไว้โดยไม่มีกำหนดลบ

เรื่องนี้ไม่ได้คลุมเครืออย่างที่หลายคนคิด สมาคมธนาคารไทยเคยหารือไว้อย่างละเอียด คำตอบอยู่ในหนังสือ “รวมคำสั่งทางปกครองของคณะกรรมการผู้เชี่ยวชาญ และสำเนาสรุปการตอบข้อหารือ” ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)

บทความนี้นำตัวบท ประกาศ และคำตอบข้อหารือมาวางเทียบกัน แล้วสรุปเป็นตารางให้ฝ่ายบุคคลใช้ตัดสินใจได้ทันที

ประวัติอาชญากรรมเป็นข้อมูลอ่อนไหวตาม PDPA หรือไม่?

เป็น มาตรา 26 วรรคหนึ่งแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ระบุ “ประวัติอาชญากรรม” ไว้ในกลุ่มข้อมูลที่ห้ามเก็บโดยไม่ได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้นตาม (1) ถึง (5) นอกจากนั้น มาตรา 26 วรรคสามยังวางเงื่อนไขเพิ่มไว้เฉพาะเรื่องนี้

มาตรา 26 วรรคสามแยกการเก็บประวัติอาชญากรรมออกเป็นสองกรณี กรณีแรกคือเก็บภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย กรณีที่สองคือการเก็บแบบอื่นทั้งหมด ซึ่งต้องมีมาตรการคุ้มครองตามที่คณะกรรมการประกาศกำหนด

บริษัทเอกชนที่ตรวจประวัติผู้สมัครเองมักอยู่ในกรณีที่สอง ประกาศปี 2566 ซึ่งออกตามมาตรา 26 วรรคสาม จึงเป็นกติกาหลักที่ฝ่ายบุคคลต้องทำตาม

อะไรนับเป็น “ข้อมูลประวัติอาชญากรรม” แล้วใบ “ไม่พบประวัติ” นับด้วยหรือไม่?

นับเฉพาะข้อมูลที่เป็นทางการหรือหน่วยงานรัฐรับรอง และไม่จำเป็นต้องเป็นคดีที่ถึงที่สุดแล้ว ข้อ 3 ของประกาศปี 2566 ให้นิยามไว้ดังนี้

คำถามที่ฝ่ายบุคคลเจอบ่อยที่สุดคือ ใบผลตรวจที่เขียนว่า “ไม่พบประวัติอาชญากรรม” นับด้วยหรือไม่ สมาคมธนาคารไทยถามเรื่องนี้ไว้ตรง ๆ ในประเด็นที่ 1.1 (ก) และคณะอนุกรรมการฯ ตอบว่า

แต่ถ้าเอกสารระบุว่า “โจทก์ถอนฟ้อง” “อัยการสั่งไม่ฟ้อง” “พิพากษาให้รอลงอาญา” หรือ “อยู่ระหว่างการอุทธรณ์” คำตอบจะกลับกัน ในประเด็น 1.1 (ข) คณะอนุกรรมการฯ เห็นว่าข้อมูลเหล่านี้เป็นส่วนหนึ่งของการสอบสวน การดำเนินคดี หรือการรับโทษทางอาญา จึงเป็นข้อมูลประวัติอาชญากรรมตามประกาศ

หลักเดียวกันใช้กับช่องสถานะในระบบงานบุคคลด้วย ตามประเด็นที่ 1.2 หากช่องนั้นบันทึกว่า “พบประวัติ” ก็นับเป็นข้อมูลประวัติอาชญากรรมแล้ว แม้จะไม่มีรายละเอียดคดีเลย

เรื่องใกล้เคียง: หนังสือจากตำรวจและหมายอายัดบัญชี

สมาคมธนาคารไทยหารืออีกเรื่องหนึ่งว่า ข้อมูลที่ธนาคารได้รับเมื่อทำตามพระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 นับเป็นประวัติอาชญากรรมหรือไม่

คณะอนุกรรมการฯ เห็นว่าข้อมูลในหนังสือของกองบังคับการปราบปรามการกระทำความผิดเกี่ยวกับอาชญากรรมทางเศรษฐกิจหรือศูนย์ AOC และข้อมูลในหมายอายัดหรือหมายให้ตรวจสอบ เป็นข้อมูลประวัติอาชญากรรมตามข้อ 3 ส่วนข้อมูลที่แลกเปลี่ยนผ่านระบบ Central Fraud Registry ต้องดูข้อเท็จจริงเป็นรายกรณี

ถ้าธนาคารนำข้อมูลเหล่านี้ไปใช้เป็นมาตรการภายในของตัวเอง ก็ต้องทำตามข้อ 6 ข้อ 7 และข้อ 8 ของประกาศ บทเรียนสำหรับฝ่ายบุคคลคือ ข้อมูลคดีที่หน่วยงานรัฐส่งมาเองโดยองค์กรไม่ได้ขอ เช่น หมายที่เกี่ยวกับพนักงาน ก็ยังต้องคุ้มครองตามประกาศเหมือนกัน

นายจ้างขอประวัติอาชญากรรมของผู้สมัครงานได้เมื่อไร?

ได้ในสองกรณี คือมีกฎหมายกำหนดให้ต้องตรวจ หรือผู้สมัครให้ความยินยอมโดยชัดแจ้ง นอกจากสองกรณีนี้ทำไม่ได้ ข้อ 5 วรรคหนึ่งของประกาศปี 2566 เขียนไว้ว่า

คำว่า “เท่านั้น” ทำให้ทางลัดที่ฝ่ายบุคคลหลายแห่งเคยใช้ ใช้ไม่ได้อีกต่อไป ในประเด็นที่ 4.1 สมาคมธนาคารไทยลองเสนอฐานอื่นแทนความยินยอมสามแบบ คำตอบที่ได้เป็นเรื่องที่ฝ่ายบุคคลทุกธุรกิจควรรู้

• อ้างว่า “ธุรกิจเราสำคัญต่อระบบเศรษฐกิจ” ยังไม่พอ ฐานประโยชน์สาธารณะที่สำคัญตามมาตรา 26 (5) (จ) ต้องมีกฎหมายกำหนดให้ผู้ควบคุมข้อมูลมีหน้าที่ตรวจประวัติอาชญากรรม ลำพังความสำคัญของธุรกิจไม่ทำให้เข้าข้อยกเว้นนี้ (ประเด็น 4.1 (ก))
• ตำแหน่งที่กฎหมายกำหนดลักษณะต้องห้ามไว้ ตรวจได้โดยไม่ต้องขอความยินยอม คณะอนุกรรมการฯ ยกตัวอย่างกรรมการบริษัทมหาชนจำกัดตามมาตรา 68 (3) แห่งพระราชบัญญัติบริษัทมหาชนจำกัด พ.ศ. 2535 และกรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงินตามพระราชบัญญัติธุรกิจสถาบันการเงิน พ.ศ. 2551 ประกอบประกาศธนาคารแห่งประเทศไทย (ประเด็น 4.1 (ข))
• คุณสมบัติที่บริษัทกำหนดขึ้นเอง ไม่ใช่ “การประเมินความสามารถในการทำงานของลูกจ้าง” ตามมาตรา 26 (5) (ก) เพราะข้อยกเว้นนั้นต้องมีกฎหมายกำหนดไว้ (ประเด็น 4.1 (ค))

พูดง่าย ๆ คือ ถ้าเปิดกฎหมายแล้วชี้ได้ว่ามาตราไหนกำหนดลักษณะต้องห้ามเรื่องโทษอาญาของตำแหน่งนั้น ก็ใช้ฐานกฎหมายได้ ถ้าชี้ไม่ได้ ต่อให้เหตุผลทางธุรกิจดีแค่ไหน ก็ต้องขอความยินยอมโดยชัดแจ้ง และทำตามข้อ 5 ข้อ 6 และข้อ 9 ของประกาศ

ให้ความยินยอมเป็นเงื่อนไขของการจ้างได้หรือไม่?

ได้ หากการตรวจจำเป็นหรือเกี่ยวข้องกับงานนั้นจริง เรื่องนี้ต้องระวัง เพราะมาตรา 19 วรรคสี่ของ PDPA ห้ามตั้งเงื่อนไขให้ยินยอมในเรื่องที่ไม่จำเป็นต่อการทำสัญญา

ในประเด็น 4.2 (ก) สมาคมธนาคารไทยถามว่า ถ้าผู้ได้รับคัดเลือกไม่ยินยอม แล้วธนาคารไม่รับเข้าทำงาน จะขัดเจตนารมณ์ของมาตรา 19 หรือไม่

คณะอนุกรรมการฯ ตอบว่า ถ้าผู้ควบคุมข้อมูลเห็นว่าความยินยอมนั้นจำเป็นหรือเกี่ยวข้องกับการพิจารณารับเข้าทำงานเพียงพอ ก็กำหนดเป็นเงื่อนไขของสัญญาได้ตามมาตรา 19 วรรคสี่ แต่ผู้สมัครยังร้องเรียนตามมาตรา 73 ได้ถ้าเห็นว่าองค์กรทำผิด นายจ้างจึงควรเขียนเหตุผลความจำเป็นของแต่ละตำแหน่งเก็บไว้ตั้งแต่ตอนเขียนประกาศรับสมัคร

หลักเดียวกันนี้ปรากฏในข้อหารือของการทางพิเศษแห่งประเทศไทย (กทพ.) เรื่องเครื่องลงเวลาทำงานที่ใช้ใบหน้าและลายนิ้วมือ ข้อมูลชีวภาพก็เป็นข้อมูลอ่อนไหวตามมาตรา 26 เช่นกัน ในกรณีนั้นมีพนักงานเพียงหนึ่งคนจากกว่าสามพันคนที่ไม่ยินยอม

คณะอนุกรรมการฯ วางองค์ประกอบไว้สี่ข้อ หากจะอ้างมาตรา 26 (5) (ค) เรื่องการคุ้มครองแรงงานแทนความยินยอม ได้แก่ จำเป็นเพื่อปฏิบัติตามกฎหมาย ทำเพื่อการคุ้มครองแรงงาน จำเป็นต่อสิทธิหรือหน้าที่ของนายจ้างหรือลูกจ้าง และมีมาตรการคุ้มครองที่เหมาะสม

ข้อเท็จจริงที่อาจรองรับได้ เช่น ต้องการป้องกันการลงเวลาแทนกัน แต่ถ้ายังไม่ชัดว่ามีปัญหานี้จริง หรือยังมีวิธีอื่นที่ไม่ต้องใช้ข้อมูลชีวภาพ ก็อ้างข้อยกเว้นนี้ไม่ได้ และถ้าความยินยอมไม่จำเป็นต่อสัญญาจ้าง นายจ้างต้องมีทางเลือกอื่นให้

ต้องแจ้งผู้สมัครเมื่อไร และประกาศรับสมัครต้องมีอะไรบ้าง?

ต้องแจ้งตั้งแต่ตอนประกาศหรือประชาสัมพันธ์รับสมัคร ไม่ใช่รอถึงตอนยื่นใบสมัครหรือตอนสัมภาษณ์ ข้อ 5 วรรคสองของประกาศปี 2566 กำหนดเรื่องนี้ไว้ และข้อ 6 เพิ่มหน้าที่อีกข้อเมื่อใช้ความยินยอม

เมื่ออ่านประกาศคู่กับคำตอบข้อหารือ ประกาศรับสมัครและแบบขอความยินยอมของตำแหน่งที่ต้องตรวจประวัติ ควรมีรายการต่อไปนี้

1. ในประกาศรับสมัครงาน: บอกว่าตำแหน่งนี้ต้องตรวจประวัติอาชญากรรม และเหตุผลที่ต้องตรวจ (ข้อ 5 วรรคสอง)
2. ฐานที่ใช้: ถ้ามีกฎหมายกำหนด ให้ระบุชื่อกฎหมายและมาตรา ถ้าใช้ความยินยอม ให้บอกตรง ๆ ว่าเป็นความยินยอมโดยชัดแจ้งตามมาตรา 26
3. ข้อมูลที่จะเก็บและได้มาจากไหน: เช่น ผลตรวจจากกองทะเบียนประวัติอาชญากร สำนักงานตำรวจแห่งชาติ ซึ่งเป็นแหล่งที่ข้อหารือกล่าวถึง
4. ถ้าไม่ยินยอมหรือถอนความยินยอมจะเป็นอย่างไร: เช่น องค์กรอาจรับเข้าทำงานในตำแหน่งนี้ไม่ได้ (ข้อ 6)
5. เก็บไว้นานเท่าไร: ผลตรวจจะถูกลบ ทำลาย หรือทำให้ระบุตัวไม่ได้ภายใน 6 เดือนหลังคัดเลือกผู้สมัครรายนั้นเสร็จ เว้นแต่มีกฎหมายเฉพาะหรือความจำเป็นตาม PDPA (ข้อ 9)
6. ช่องยินยอมแยกต่างหาก หากต้องการเก็บนานกว่า 6 เดือน ห้ามรวมกับช่องยินยอมให้ตรวจ (ข้อหารือประเด็น 4.2 (ค) และมาตรา 19 วรรคสาม)
7. ใครดูได้บ้าง: เฉพาะคนที่ต้องใช้ในการพิจารณา ตามมาตรการเชิงองค์กรและเชิงเทคนิคในข้อ 7 และมาตรการรักษาความมั่นคงปลอดภัยในข้อ 8
8. สิทธิของผู้สมัคร: รวมถึงสิทธิถอนความยินยอม และช่องทางร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญตามมาตรา 73

เก็บผลตรวจประวัติอาชญากรรมไว้ได้นานเท่าไร?

ถ้าไม่มีกฎหมายเฉพาะและไม่มีความจำเป็นตาม PDPA เก็บต่อได้ไม่เกิน 6 เดือนหลังคัดเลือกผู้สมัครแต่ละรายเสร็จ จากนั้นต้องลบ ทำลาย หรือทำให้ระบุตัวไม่ได้ตามข้อ 9 วรรคสอง

ประกาศเปิดช่องให้เก็บนานกว่านั้นได้สองทาง ทางแรกคือขอความยินยอมโดยชัดแจ้งแยกอีกฉบับ ซึ่งคณะอนุกรรมการฯ ยืนยันในประเด็น 4.2 (ข) ว่าทำได้ เช่น ธนาคารที่ต้องการเก็บไว้จนพนักงานพ้นสภาพแล้วอีก 10 ปี ทางที่สองน่าสนใจกว่า เพราะไม่ต้องขอความยินยอมเลย

ข้อสังเกตนี้ใช้คำว่า “อาจ” การอ้างมาตรา 26 (4) จึงต้องมีข้อเท็จจริงรองรับเป็นรายกรณี การเย็บผลตรวจเข้าแฟ้มพนักงานทุกคนไว้ตลอดอายุงานโดยไม่ได้ประเมินเลย ไม่น่าจะเป็นสิ่งที่ข้อสังเกตนี้รองรับ

สามคำตอบเรื่องการนับเวลา

• ผลตรวจที่เก็บไว้ก่อนประกาศมีผล ระยะ 6 เดือนเริ่มนับจากวันที่ประกาศมีผลใช้บังคับ ไม่ย้อนหลังเป็นโทษ (ประเด็นที่ 2)
• นำผลตรวจไปใช้เพื่อวัตถุประสงค์ใหม่ที่อยู่ในข้อ 5 ระยะ 6 เดือนเริ่มนับใหม่เมื่อดำเนินการตามวัตถุประสงค์ใหม่เสร็จ (ประเด็น 3.2)
• เก็บเพื่อวัตถุประสงค์นอกข้อ 5 เช่น ใช้ดำเนินคดีทุจริตของพนักงาน ไม่อยู่ใต้เพดาน 6 เดือนของข้อ 9 แต่ยังต้องมีฐานตามมาตรา 26 และมีระบบลบตามมาตรา 37 (3) (ประเด็น 3.1)

เพดาน 6 เดือนจะเกิดขึ้นจริงก็ต่อเมื่อมีระบบนับวันให้ เขียนไว้ในนโยบายอย่างเดียวไม่พอ AIPDPA มีทะเบียนความยินยอมที่แยกตามวัตถุประสงค์ กฎระยะเก็บรักษา และบันทึกการทำลาย ดูบัญชีตัวอย่าง

ตำแหน่งไหนตรวจได้ ใช้ฐานอะไร?

ตารางนี้สรุปจากประกาศปี 2566 และคำตอบข้อหารือข้างต้น ใช้คัดว่าตำแหน่งไหนควรมีช่องตรวจประวัติในใบสมัคร และต้องเตรียมเอกสารอะไรบ้าง

ฝ่ายบุคคลมักพลาดตรงไหน?

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)