ประวัติโดนลงโทษทางวินัย เป็นข้อมูลอ่อนไหวหรือไม่

คนที่เคยถูกตั้งกรรมการสอบวินัยมักกังวลว่าเรื่องนี้จะตามไปถึงที่ทำงานใหม่หรือไม่ ฝั่งฝ่ายบุคคลก็อยากรู้ว่าแฟ้มวินัยต้องดูแลเข้มเท่าข้อมูลสุขภาพหรือประวัติอาชญากรรมหรือไม่ เพราะถ้าใช่ การเก็บแฟ้มแทบทุกครั้งจะต้องได้ความยินยอมโดยชัดแจ้งจากพนักงานคนนั้นก่อน

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเคยตอบคำถามนี้ไว้แล้ว ในสรุปการตอบข้อหารือที่ 2/2568 นาย ฐ ขอให้คณะกรรมการตีความตามมาตรา 16 (10) แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ที่ให้คณะกรรมการตีความและวินิจฉัยชี้ขาดปัญหาจากการใช้กฎหมายฉบับนี้

เรื่องนี้เริ่มจากการร้องเรียนว่า อดีตพนักงานของผู้ถูกร้องเรียนซึ่งเคยเป็นกรรมการสอบสวนวินัย นำข้อมูลการสอบสวนไปใส่ในประวัติการทำงานที่เผยแพร่ทางอินเทอร์เน็ต ต่อมามีคำสั่งของคณะกรรมการผู้เชี่ยวชาญในเรื่องนั้น แต่สรุปข้อหารือไม่ได้เล่าว่าคำสั่งนั้นวินิจฉัยไว้อย่างไร

นาย ฐ ถามสองเรื่อง เรื่องแรก “ข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกัน” ที่คณะกรรมการจะประกาศเพิ่มตามมาตรา 26 ต้องเป็นข้อมูลลักษณะไหน เรื่องที่สอง ขอให้คณะกรรมการประกาศให้ข้อมูลวินัยเป็นข้อมูลประเภทนั้น เพื่อไม่ให้คนอื่นต้องเสียหายแบบเดียวกัน

ประวัติโดนลงโทษทางวินัย เป็นข้อมูลอ่อนไหวตามมาตรา 26 หรือไม่?

ไม่เป็น คณะกรรมการเห็นว่าข้อมูลการดำเนินการทางวินัยคือข้อมูลเรื่องการปฏิบัติงานหรือการทำผิดวินัยภายในหน่วยงาน และโดยทั่วไปใช้กันเฉพาะในองค์กร ข้อมูลแบบนี้ไม่ตรงกับประเภทใดในรายการของมาตรา 26 วรรคหนึ่งเลย

คณะกรรมการให้เหตุผลไว้สามข้อ เรียงจากเรื่องที่คนสงสัยมากที่สุด

1. ไม่ใช่ประวัติอาชญากรรม เพราะไม่ใช่ข้อมูลการสืบสวนสอบสวนคดีอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา และไม่ใช่ข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานรัฐที่มีอำนาจเรื่องคดีอาญา
2. ไม่ใช่ข้อมูลประเภทอื่นในมาตรา 26 ทั้งเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อ พฤติกรรมทางเพศ สุขภาพ ความพิการ สหภาพแรงงาน พันธุกรรม และข้อมูลชีวภาพ
3. ณ เวลาที่ตอบข้อหารือ คณะกรรมการยังไม่เคยประกาศกำหนดข้อมูลอื่นใดที่กระทบเจ้าของข้อมูลในทำนองเดียวกันไว้เลย รายการ “ข้อมูลอื่นใด” ท้ายมาตรา 26 จึงยังไม่มีข้อมูลประเภทใดเพิ่มเข้ามา

ทำไมโทษทางวินัยจึงไม่นับเป็นประวัติอาชญากรรม

คณะกรรมการวัดจากนิยามในข้อ 3 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่องมาตรการคุ้มครองสำหรับการเก็บข้อมูลประวัติอาชญากรรม พ.ศ. 2566 นิยามนี้มีเงื่อนไขสองชั้นที่ต้องครบพร้อมกัน

ชั้นแรก เนื้อหาต้องเกี่ยวกับคดีอาญา ชั้นที่สอง ต้องเป็นข้อมูลทางการหรือรับรองโดยหน่วยงานรัฐที่มีอำนาจเรื่องนั้น คำสั่งลงโทษที่บริษัทหรือหน่วยงานออกเองหลังสอบวินัยไม่เข้าเงื่อนไขทั้งสองชั้น แม้จะใช้คำว่า “สอบสวน” และ “โทษ” เหมือนกันก็ตาม

องค์กรที่ต้องตรวจประวัติอาชญากรรมของผู้สมัครงานจริง ๆ ต้องทำตามเงื่อนไขของประกาศฉบับเดียวกันนี้ อ่านรายละเอียดได้ที่ขอประวัติอาชญากรรมผู้สมัครงานได้แค่ไหน

คณะกรรมการใช้เกณฑ์อะไรตัดสินว่าข้อมูลไหนควรเข้ามาตรา 26?

คณะกรรมการเริ่มจากเจตนารมณ์ของมาตรา 26 ว่ามีไว้คุ้มครองข้อมูลที่ละเอียดอ่อนเป็นพิเศษ ถ้าเก็บ ใช้ หรือเปิดเผยโดยไม่เหมาะสม อาจกระทบสิทธิและเสรีภาพของเจ้าของข้อมูลอย่างรุนแรง ตัวอย่างที่ยกไว้คือการเลือกปฏิบัติโดยไม่เป็นธรรมเพราะเชื้อชาติ ศาสนา สุขภาพ หรือข้อมูลอื่นในรายการ

กฎหมายจึงบังคับให้ต้องได้ความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้นในมาตรา 26 (1) ถึง (5) ประกอบมาตรา 27 วรรคหนึ่ง คณะกรรมการย้ำว่าข้อยกเว้นชุดนี้ถูกจำกัดไว้เป็นพิเศษ และแคบกว่าข้อยกเว้นในมาตรา 24 ก่อนจะเพิ่มข้อมูลชนิดใหม่เข้ามาตรา 26 จึงต้องตอบคำถามสองข้อ

การอ่านของเรา: คำถามข้อที่สองสำคัญกว่าที่เห็น ถ้าข้อมูลวินัยเข้ามาตรา 26 องค์กรจะเหลือเพียงความยินยอมโดยชัดแจ้งกับข้อยกเว้นห้าข้อ ไม่มีฐานสัญญาหรือฐานประโยชน์โดยชอบด้วยกฎหมายให้ใช้ ถ้าพนักงานไม่ยอมให้ความยินยอม การสอบวินัยจะติดขัดทันที ข้อนี้เป็นความเห็นของเรา ไม่ใช่ถ้อยคำของคณะกรรมการ

ถ้าข้อมูลใดเข้ามาตรา 26 งานของฝ่ายบุคคลจะเปลี่ยนอย่างไร

ข้อยกเว้นในมาตรา 26 ที่ใกล้งานบุคคลที่สุดคือมาตรา 26 (5) (ค) เรื่องการคุ้มครองแรงงาน แต่ข้อนี้ต้องเป็นการจำเป็นในการปฏิบัติตามกฎหมาย เราเห็นว่าการสอบวินัยตามระเบียบภายในของบริษัทจึงไม่ได้เข้าข้อนี้เสมอไป คำตอบของคณะกรรมการทำให้ฝ่ายบุคคลใช้ฐานในมาตรา 24 ต่อไปได้ตามปกติ

ทำไมคณะกรรมการจึงยังไม่ประกาศเพิ่ม

นอกจากเรื่องความร้ายแรง คณะกรรมการให้เหตุผลประกอบอีกสองข้อที่ฝ่ายบุคคลควรรู้ ข้อแรก องค์กรที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลกำหนดระดับชั้นความลับและขอบเขตที่เหมาะสมในการเก็บ ใช้ และเปิดเผยข้อมูลวินัยเองได้อยู่แล้ว

ข้อสอง ถ้าใครเก็บ ใช้ หรือเปิดเผยข้อมูลวินัยโดยไม่สมควร เจ้าของข้อมูลที่ได้รับผลกระทบร้องเรียนตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือเรียกร้องความรับผิดตามกฎหมายอื่นได้ เมื่อมีช่องทางเยียวยาอยู่แล้ว คณะกรรมการจึงเห็นว่ายังไม่จำเป็นต้องประกาศเพิ่มในตอนนี้

ไม่ใช่ข้อมูลอ่อนไหวแล้ว ฝ่ายบุคคลใช้แฟ้มวินัยตามใจได้หรือไม่?

ไม่ได้ ข้อมูลวินัยยังเป็นข้อมูลส่วนบุคคลเต็มตัว ก่อนหน้าข้อหารือ 2/2568 คณะกรรมการเคยตอบสำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ (สำนักงาน ป.ป.ช.) ไว้แล้วว่า กระบวนการลงโทษทางวินัยที่ไม่เกี่ยวกับความผิดอาญา ไม่อยู่ในข้อยกเว้นของมาตรา 4 (5) ที่ยกเว้นให้กระบวนการยุติธรรมทางอาญา

ในทางปฏิบัติ ทุกขั้นของการสอบวินัย ตั้งแต่รับเรื่องร้องเรียน เรียกพยาน จนออกคำสั่งลงโทษ ต้องมีฐานทางกฎหมายรองรับ ต้องเก็บเท่าที่จำเป็นตามมาตรา 22 และต้องแจ้งพนักงานตามมาตรา 23 ว่าข้อมูลถูกเก็บเพื่ออะไร เก็บนานเท่าไร และอาจเปิดเผยให้ใครบ้าง

ฐานทางกฎหมายที่น่าจะใช้

ข้อหารือ 2/2568 ไม่ได้บอกว่าต้องใช้ฐานใด ส่วนนี้เป็นการอ่านของเรา สำหรับหน่วยงานรัฐ คณะกรรมการเคยวางแนวไว้ในงานบุคคลเรื่องอื่น คือข้อหารือของสำนักงาน ก.ค.ศ. เรื่องประเมินวิทยฐานะครู ว่าการเก็บข้อมูลตามหน้าที่และอำนาจตามกฎหมายใช้มาตรา 24 (4) หรือมาตรา 24 (6) ได้ เราเห็นว่าการสอบวินัยตามหน้าที่และอำนาจตามกฎหมายน่าจะใช้หลักเดียวกัน

สำหรับนายจ้างเอกชน เราเห็นว่าฐานที่ใช้ได้คือการปฏิบัติตามสัญญาจ้างตามมาตรา 24 (3) ประโยชน์โดยชอบด้วยกฎหมายของนายจ้างในการรักษาวินัยตามมาตรา 24 (5) หรือการปฏิบัติตามกฎหมายตามมาตรา 24 (6) เมื่อมีกฎหมายกำหนดหน้าที่ไว้ ถ้าเลือกมาตรา 24 (5) ควรชั่งน้ำหนักและจดเหตุผลไว้ ดูวิธีชั่งน้ำหนักสามขั้น

เราเห็นว่าความยินยอมไม่เหมาะกับงานนี้ พนักงานที่ถูกกล่าวหาอาจไม่ยอมให้ตั้งแต่แรก และถ้าองค์กรอ้างความยินยอมไว้ เมื่อพนักงานถอนความยินยอม องค์กรจะต้องหาฐานอื่นมาอธิบายการเก็บแฟ้มนั้นต่อ

เอกสารในแฟ้มวินัยต้องแยกดูทีละชิ้น

คำตอบของคณะกรรมการพูดถึงตัวข้อมูลวินัยเท่านั้น แต่แฟ้มวินัยจริงมักมีเอกสารอื่นแนบมาด้วย และบางชิ้นอาจเป็นข้อมูลตามมาตรา 26 ตารางนี้เป็นการอ่านของเรา ใช้เป็นจุดตั้งต้นในการจัดแฟ้ม

เอกสารคดีอาญามีเงื่อนไขการเก็บของตัวเองตามประกาศปี 2566 ถ้าไม่จำเป็นต่อการสอบวินัยจริง ไม่ควรขอมาเก็บในแฟ้ม ข้อมูลอ่อนไหวที่แฝงอยู่ในเอกสารงานบุคคลอื่น ๆ ดูต่อได้ที่ข้อมูลอ่อนไหวที่บริษัทเก็บอยู่ทุกวันโดยไม่รู้ตัว

ใครในองค์กรควรเปิดแฟ้มวินัยได้บ้าง?

เฉพาะคนที่ต้องใช้ข้อมูลนั้นทำงานจริง เหตุผลข้อหนึ่งที่คณะกรรมการไม่ยกข้อมูลวินัยขึ้นเป็นข้อมูลอ่อนไหว คือองค์กรกำหนดชั้นความลับและขอบเขตการใช้เองได้ การอ่านของเราคือ องค์กรที่ไม่เคยกำหนดเรื่องนี้เลย กำลังละเลยสิ่งที่คณะกรรมการยกมาเป็นเหตุผลข้อหนึ่งของการไม่ประกาศเพิ่ม

มาตรา 37 (1) ยังกำหนดให้ผู้ควบคุมข้อมูลจัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการเข้าถึงหรือเปิดเผยโดยปราศจากอำนาจหรือโดยมิชอบ รายการด้านล่างเป็นข้อแนะนำของเรา

• กำหนดตำแหน่งที่เปิดแฟ้มวินัยได้ เช่น ผู้รับผิดชอบงานวินัยในฝ่ายบุคคล กรรมการสอบเฉพาะเรื่องที่ตนสอบ และผู้มีอำนาจออกคำสั่ง
• แยกแฟ้มวินัยออกจากแฟ้มประวัติพนักงานที่หัวหน้างานทั่วไปเปิดดูได้
• เขียนในคำสั่งแต่งตั้งกรรมการสอบว่าห้ามนำข้อมูลในสำนวนไปใช้นอกการสอบ รวมถึงห้ามใส่ในประวัติการทำงานหรือแฟ้มผลงานส่วนตัว
• ตั้งชั้นความลับของสำนวนสอบ และเก็บบันทึกว่าใครเปิดดูเมื่อไร
• เมื่อกรรมการสอบพ้นหน้าที่หรือลาออก ให้คืนเอกสารและลบสำเนาในเครื่องหรือบัญชีอีเมลส่วนตัว

ประกาศผลการลงโทษให้ทั้งองค์กรรู้ หรือขึ้นเว็บไซต์ได้หรือไม่?

ควรระวังมาก PDPA ไม่มีมาตราที่พูดถึงการประกาศคำสั่งลงโทษโดยตรง แต่มีข้อหารือเรื่องใกล้กันในหนังสือรวมข้อหารือของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ในเรื่องนั้นสภาวิชาชีพบัญชีถามว่าจะนำคำสั่งลงโทษผิดจรรยาบรรณของผู้ประกอบวิชาชีพบัญชีขึ้นเว็บไซต์ เพื่อเตือนประชาชนก่อนว่าจ้างได้หรือไม่

คณะอนุกรรมการเฉพาะกิจฯ ให้เหตุผลว่าสภาวิชาชีพบัญชีต้องชั่งระหว่างหน้าที่ตามกฎหมายเพื่อประโยชน์สาธารณะกับประโยชน์ของเอกชนที่เกี่ยวข้อง และต้องทำเท่าที่จำเป็น เพื่อไม่ให้รุกล้ำสิทธิส่วนบุคคลโดยไม่สมควร

การอ่านของเรา: สภาวิชาชีพบัญชีมีหน้าที่ตามกฎหมายเพื่อคุ้มครองประชาชนอยู่แล้ว ยังได้คำตอบว่าการเผยแพร่เป็นการทั่วไปอาจเกินสมควร บริษัทเอกชนที่จะประกาศชื่อพนักงานและโทษให้ทั้งองค์กรรู้ จึงต้องมีเหตุผลหนักแน่นกว่านั้น และทุกการเปิดเผยต้องมีฐานตามมาตรา 27 วรรคหนึ่ง

ตัวอย่างด้านล่างเป็นสถานการณ์สมมติ ยกเว้นข้อสุดท้ายที่มาจากเรื่องร้องเรียนต้นเรื่องของข้อหารือ 2/2568 ระดับความเสี่ยงทุกข้อเป็นการอ่านของเรา ไม่ใช่คำวินิจฉัยของคณะกรรมการ

บริษัทใหม่โทรมาถามประวัติวินัย ฝ่ายบุคคลตอบได้แค่ไหน?

ตอบได้เท่าที่มีฐานทางกฎหมายรองรับ และควรน้อยกว่าที่คนถามอยากรู้ ข้อหารือ 2/2568 ไม่ได้พูดถึงเรื่องนี้ ส่วนนี้ทั้งหมดเป็นข้อแนะนำของเราที่ทำขึ้นจากหลักทั่วไปของ PDPA

การเล่าผลการลงโทษให้บริษัทอื่นฟังคือการเปิดเผยข้อมูลส่วนบุคคล ต้องมีฐานตามมาตรา 27 วรรคหนึ่ง เราเห็นว่าทางที่ปลอดภัยที่สุดคือมีความยินยอมจากอดีตพนักงานก่อน เช่น ผู้สมัครเซ็นยินยอมให้บริษัทใหม่สอบถาม และบริษัทเดิมขอดูเอกสารนั้นก่อนตอบ

บริษัทที่ได้ข้อมูลไปต้องใช้ตามวัตถุประสงค์ที่แจ้งไว้ตอนขอเท่านั้น ตามมาตรา 27 วรรคสอง ส่วนฝ่ายที่ตอบต้องระวังความถูกต้องของสิ่งที่พูดออกไปด้วย

• ตอบเฉพาะสิ่งที่อยู่ในคำสั่งที่ถึงที่สุดแล้ว ไม่เล่าข้อกล่าวหา ข้อสงสัย หรือเรื่องที่ได้ยินมา
• ให้คนที่ได้รับมอบหมายไม่กี่คนตอบเป็นลายลักษณ์อักษร ไม่ให้หัวหน้างานเก่าตอบเองทางโทรศัพท์
• ถ้าไม่มีความยินยอมแต่องค์กรเห็นว่ามีฐานอื่นให้ตอบได้ ให้จดเหตุผลและบันทึกการเปิดเผยนั้นในรายการตามมาตรา 39 ตามที่มาตรา 27 วรรคสามกำหนด
• เขียนขอบเขตการให้ข้อมูลอ้างอิงไว้ในประกาศความเป็นส่วนตัวสำหรับพนักงาน เพราะมาตรา 23 (4) ให้แจ้งประเภทบุคคลหรือหน่วยงานที่ข้อมูลอาจถูกเปิดเผย

เรื่องการให้ข้อมูลอ้างอิงในภาพรวม ตั้งแต่วันรับสมัครจนพนักงานลาออก ดูได้ที่ข้อมูลพนักงานตั้งแต่สมัครงานจนลาออก

แฟ้มวินัยควรเก็บไว้นานแค่ไหน?

PDPA ไม่ได้กำหนดจำนวนปีสำหรับแฟ้มวินัย องค์กรต้องกำหนดเอง แจ้งพนักงานตามมาตรา 23 (3) และมีระบบลบเมื่อพ้นกำหนด กฎหมายอื่นที่ใช้กับองค์กรอาจกำหนดระยะเวลาไว้ต่างหาก บทความนี้ไม่ได้ตรวจกฎหมายเหล่านั้น

ท้ายมาตรา 37 (3) มีข้อยกเว้นให้เก็บต่อได้ เช่น เพื่อใช้สิทธิเรียกร้องหรือยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อปฏิบัติตามกฎหมาย เราเห็นว่าแฟ้มวินัยที่อาจกลายเป็นข้อพิพาท มีเหตุให้เก็บต่อในช่วงที่ยังอาจถูกฟ้อง และเมื่อเหตุนั้นหมดไปก็ควรลบ

แฟ้มที่สอบแล้วไม่พบความผิด เป็นแฟ้มที่ควรลบเร็วที่สุด เหตุผลและแนวปฏิบัติที่รองรับดูได้ที่ข้อมูลพนักงานเก่า เก็บต่อได้แค่ไหน ต้องลบเมื่อไร ลำดับด้านล่างเป็นข้อแนะนำของเราสำหรับแฟ้มวินัยหนึ่งเรื่อง

1. รับเรื่องร้องเรียน
   จดเท่าที่จำเป็นต่อการตั้งเรื่อง และไม่ส่งต่อเกินผู้รับผิดชอบงานวินัยมาตรา 22
2. ตั้งกรรมการสอบ
   เขียนข้อห้ามใช้ข้อมูลนอกการสอบไว้ในคำสั่งแต่งตั้ง และกำหนดชั้นความลับของสำนวนมาตรา 37 (1) · 39 (5)
3. ระหว่างสอบ
   แยกเอกสารที่เป็นข้อมูลตามมาตรา 26 เช่น ใบรับรองแพทย์ ออกมาดูแลเข้มกว่าเอกสารอื่นมาตรา 26
4. ออกคำสั่ง
   แจ้งผลเฉพาะคนที่ต้องรู้ และบันทึกการเปิดเผยที่ไม่ได้ขอความยินยอมไว้ในบันทึกรายการมาตรา 27 · 39
5. พ้นกำหนดเก็บ
   ลบหรือทำลายทั้งต้นฉบับ สำเนาในอีเมล และไฟล์ในเครื่องของกรรมการสอบ แล้วจดว่าลบเมื่อไรมาตรา 37 (3)

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)