ข้อมูลพนักงานตั้งแต่สมัครงานจนลาออก คือข้อมูลส่วนบุคคลที่ HR ต้องดูแลตาม PDPA ส่วนใหญ่ใช้ฐานสัญญาจ้างหรือหน้าที่ตามกฎหมายได้ แต่ข้อมูลสุขภาพ ลายนิ้วมือ และประวัติอาชญากรรมเป็นข้อมูลอ่อนไหวตามมาตรา 26 เหมาะกับ HR ได้แนวทาง TDPG 4.0 เรื่องตรวจประวัติและแจ้งก่อนกำกับงาน
- ประวัติอาชญากรรมเก็บได้เฉพาะเมื่อกฎหมายบังคับหรือได้ความยินยอมโดยชัดแจ้ง ตามประกาศ คกก. ปี 2566 ข้อ 5
- ข้อมูลสุขภาพใช้ฐานสัญญาจ้างไม่ได้ ต้องได้ความยินยอมโดยชัดแจ้งหรือเข้ามาตรา 26 (5) เช่น อาชีวเวชศาสตร์
- TDPG 4.0 ข้อ S41: สแกนลายนิ้วมือลงเวลา สัญญาจ้างไม่พอ ต้องดูว่ามีวิธีที่ล่วงล้ำน้อยกว่าหรือไม่
- TDPG 4.0 ข้อ HR68: แจ้งวัตถุประสงค์และขอบเขตก่อนเริ่มกำกับการทำงาน เว้นแต่เป็นการตรวจสอบลับที่มีเหตุสมควร
- พนักงานขอสำเนาข้อมูลของตนได้ตามมาตรา 30 และบริษัทต้องทำให้ไม่เกิน 30 วันนับแต่ได้รับคำขอ
ลองไล่ดูว่าพนักงานหนึ่งคนทิ้งข้อมูลไว้กับบริษัทกี่จุด ใบสมัครพร้อมรูปถ่าย สำเนาบัตรประชาชน ผลตรวจสุขภาพก่อนเข้างาน เลขบัญชีเงินเดือน ลายนิ้วมือในเครื่องลงเวลา อีเมลงาน ภาพจากกล้องหน้าออฟฟิศ ใบรับรองแพทย์ตอนลาป่วย และแฟ้มประเมินผลงานทุกปี
ข้อมูลเหล่านี้ใช้ฐานทางกฎหมายต่างกัน บางอย่างเป็นข้อมูลอ่อนไหวที่กฎเข้มกว่า และไม่ได้หายไปเองในวันที่พนักงานลาออก บทความนี้ไล่ตามช่วงชีวิตการทำงาน โดยวาง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ไว้คู่กับ TDPG 4.0 บท HR ที่เขียนสำหรับฝ่ายทรัพยากรบุคคลโดยตรง
- ประกาศรับสมัครถ้าตำแหน่งต้องตรวจประวัติอาชญากรรม ต้องแจ้งความจำเป็นตั้งแต่ขั้นนี้ประกาศ 2566 ข้อ 5 วรรคสอง
- รับใบสมัครและสัมภาษณ์เก็บเท่าที่จำเป็น แจ้งวิธีตรวจสอบข้อมูล อบรมผู้สัมภาษณ์เรื่องบันทึกการสัมภาษณ์มาตรา 23 · TDPG ข้อ HR18–HR21
- ตรวจประวัติจากบุคคลที่สามทำเฉพาะเมื่อจำเป็นและไม่มีทางอื่น แจ้งผู้สมัครอย่างชัดแจ้งTDPG ข้อ HR22–HR25
- รับเข้าทำงานให้ประกาศความเป็นส่วนตัวสำหรับพนักงาน ใช้ฐานสัญญาหรือกฎหมายกับงานหลักมาตรา 23 · มาตรา 24
- ระหว่างจ้างตรวจสุขภาพ ลงเวลา กำกับการทำงาน ประเมินผลมาตรา 26 · TDPG ข้อ HR63–HR98
- ลาออกและหลังจากนั้นตอบคำขอเข้าถึง ตอบการขอรับรอง เก็บตามระยะที่กำหนดแล้วทำลายมาตรา 30 · TDPG ข้อ HR40–HR43 · HR60–HR62
รับสมัครงาน: ขออะไรจากผู้สมัครได้บ้าง?
ขอได้เท่าที่จำเป็นต่อการคัดเลือก และต้องแจ้งรายละเอียดตามมาตรา 23 ตั้งแต่ตอนรับใบสมัคร TDPG 4.0 ข้อ HR18 เพิ่มอีกชั้นว่า บริษัทควรบอกผู้สมัครโดยเร็วว่าจะตรวจสอบข้อมูลที่ให้มาอย่างไร และจะมีบุคคลภายนอกเกี่ยวข้องหรือไม่
ข้อมูลที่ผู้สมัครเผยแพร่เป็นสาธารณะ เช่น ประวัติการทำงานบนเว็บไซต์หางาน TDPG 4.0 ข้อ HR19 ระบุว่าบริษัทอาจอ้างฐานประโยชน์อันชอบธรรมเพื่อตรวจความถูกต้องได้ ถ้ากระทบผู้สมัครเพียงเล็กน้อยและผู้สมัครคาดหมายได้
บันทึกการสัมภาษณ์ก็เป็นข้อมูลส่วนบุคคลที่ผู้สมัครขอดูได้ TDPG 4.0 ข้อ HR20–HR21 จึงแนะนำให้อบรมผู้สัมภาษณ์ว่าควรจดอะไร และลบหรือทำลายบันทึกในเวลาอันสมควร เพื่อลดความเสี่ยงถูกกล่าวหาว่าเลือกปฏิบัติ
ตรวจประวัติจากคนอื่น ทำได้แค่ไหน
การโทรถามที่ทำงานเก่าหรือจ้างบริษัทตรวจภูมิหลัง ต่างจากการตรวจเอกสารที่ผู้สมัครยื่นเอง TDPG 4.0 ข้อ HR22 มองว่าเป็นการล่วงล้ำความเป็นส่วนตัวที่มีความเสี่ยงสูงกว่า
ด้วยเหตุนี้ การตรวจสอบข้อมูลในลักษณะนี้จึงควรทำเฉพาะกรณีที่ผู้ว่าจ้างมีความจำเป็นและไม่มีทางเลือกอื่น
ถ้าจะทำ TDPG 4.0 ข้อ HR25 แนะนำให้แจ้งผู้สมัครอย่างชัดแจ้ง และอ้างฐานประโยชน์อันชอบธรรมได้เมื่อพิสูจน์ได้ 3 เรื่อง คือมีประโยชน์ชอบธรรม มีความจำเป็นโดยไม่มีวิธีที่กระทบน้อยกว่า และผลกระทบไม่เกินสมควร ข้อ HR18 ยังห้ามบังคับให้ผู้สมัครไปใช้สิทธิขอข้อมูลของตัวเองจากองค์กรอื่นมาเป็นเงื่อนไขการสมัคร
ประวัติอาชญากรรมมีกฎเฉพาะ
ประวัติอาชญากรรมเป็นข้อมูลอ่อนไหวตามมาตรา 26 และมีประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลปี 2566 กำกับอีกฉบับ ฐานที่เปิดไว้มีเพียงสองทาง
ผู้ควบคุมข้อมูลส่วนบุคคลจะเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมได้เฉพาะเมื่อมีบทบัญญัติแห่งกฎหมายบัญญัติให้ต้องตรวจสอบประวัติอาชญากรรมหรือตรวจสอบคุณสมบัติหรือลักษณะต้องห้ามเกี่ยวกับการกระทำความผิดอาญาหรือการรับโทษทางอาญา หรือได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลเท่านั้น
เมื่อคัดเลือกเสร็จ ข้อ 9 ของประกาศให้เก็บต่อได้ไม่เกิน 6 เดือน ถ้าไม่มีกฎหมายเฉพาะกำหนดไว้ แล้วต้องลบ ทำลาย หรือทำให้ระบุตัวไม่ได้ TDPG 4.0 ข้อ HR26 (2) ก็แนะนำให้ลบข้อมูลโทษทางอาญาหลังตรวจและได้รับการยืนยันแล้ว รายละเอียดทั้งหมดอยู่ใน บทความเรื่องการตรวจประวัติอาชญากรรมผู้สมัครงาน
ผู้สมัครที่ไม่ผ่าน เก็บใบสมัครไว้ได้นานแค่ไหน
ผู้รับสมัครงานจะต้องไม่เก็บรวบรวมข้อมูลส่วนบุคคลที่ได้จากกระบวนการคัดเลือกนานกว่าระยะเวลาที่กฎหมายกำหนดให้เก็บหรือนานไปกว่าอายุความการฟ้องร้องคดีที่เกี่ยวข้อง
ถ้าอยากเก็บใบสมัครไว้พิจารณาตำแหน่งอื่นในอนาคต TDPG 4.0 ข้อ HR27–HR28 แนะนำให้เขียนไว้ในหนังสือแจ้งตั้งแต่ต้น และอ้างฐานประโยชน์อันชอบธรรมได้หลังชั่งน้ำหนักแล้ว ส่วนผู้สมัครที่ได้งาน ข้อ HR26 (1) ให้ดูว่าข้อมูลจากการคัดเลือกชิ้นไหนยังจำเป็นจริง ชิ้นที่ไม่จำเป็นไม่ควรย้ายเข้าแฟ้มพนักงาน
วันแรกของการทำงาน: ข้อมูลไหนใช้ฐานอะไร?
งานบุคคลหลักส่วนใหญ่ไม่ต้องขอความยินยอม เลขบัญชีเพื่อจ่ายเงินเดือนเป็นตัวอย่างฐานสัญญาที่ TDPG 4.0 บท C ยกไว้เอง และการส่งข้อมูลเงินเดือนให้กรมสรรพากรเป็นตัวอย่างฐานหน้าที่ตามกฎหมาย ที่ต้องทำคือแจ้งพนักงานให้ครบตามมาตรา 23
TDPG 4.0 ข้อ HR101 เป็นต้นไปมีตัวอย่างหนังสือแจ้งนโยบายคุ้มครองข้อมูลส่วนบุคคลสำหรับลูกจ้าง ข้อสัญญาในสัญญาจ้าง และข้อบังคับเกี่ยวกับการทำงานส่วนที่ว่าด้วยความปลอดภัยของข้อมูล ใช้เป็นจุดตั้งต้นได้ แต่ต้องปรับให้ตรงกับสิ่งที่บริษัททำจริง
เรื่องที่ควรใช้ความยินยอมมีไม่มาก เช่น ใช้รูปพนักงานในสื่อประชาสัมพันธ์ ที่พนักงานปฏิเสธได้โดยไม่กระทบงาน เหตุผลว่าทำไมความยินยอมของลูกจ้างมักใช้ไม่ได้ อธิบายไว้ใน บทความเรื่องเมื่อไรไม่ต้องขอความยินยอม
ตรวจสุขภาพพนักงานต้องขอความยินยอมไหม?
ขึ้นกับว่ามีกฎหมายบังคับให้ตรวจหรือไม่ ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวตามมาตรา 26 ถ้าการตรวจเป็นไปเพื่อปฏิบัติตามกฎหมายในเรื่องที่มาตรา 26 (5) ระบุ ก็ไม่ต้องขอความยินยอม ถ้าไม่ใช่ ต้องได้ความยินยอมโดยชัดแจ้ง
(5) เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ (ก) เวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การประเมินความสามารถในการทำงานของลูกจ้าง การวินิจฉัยโรคทางการแพทย์
TDPG 4.0 ข้อ HR87 (6) ยกตัวอย่างงานที่ต้องทำในสภาพแวดล้อมอันตรายหรือเกี่ยวกับสารเคมี ซึ่งกฎหมายบังคับให้ตรวจสุขภาพก่อนเข้างาน และให้การตัดสินว่าเหมาะกับตำแหน่งหรือไม่ต้องตีความโดยผู้เชี่ยวชาญด้านสุขภาพ ไม่ใช่ฝ่ายบุคคลอ่านผลแล็บเอง
ข้อ HR91 วางเงื่อนไขว่าการตรวจต้องจำเป็นจริง เช่น ป้องกันความเสี่ยงสำคัญต่อสุขภาพและความปลอดภัย ประเมินว่ากลับมาทำงานได้หลังป่วย หรือพิจารณาสิทธิประโยชน์ และห้ามเปิดเผยข้อมูลการเจ็บป่วยของพนักงานคนหนึ่งให้คนอื่นรู้ เว้นแต่จำเป็นให้งานเดินต่อได้
ใบรับรองแพทย์ตอนลาป่วย
ในกรณีที่ลูกจ้างลาป่วยตั้งแต่ 3 วันขึ้นไปนายจ้างมีสิทธิที่จะเรียกให้ลูกจ้างแสดงใบรับรองแพทย์ได้ [104] ดังนั้น หากเป็นกรณีการลาป่วยตั้งแต่ 3 วันขึ้นไป นายจ้างย่อมอาศัยสิทธิตามกฎหมายดังกล่าวในการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลของลูกจ้างได้โดยไม่ต้องขอความยินยอมจากลูกจ้าง
ข้อเดียวกันระบุว่า ถ้าขอใบรับรองแพทย์ตอนลาป่วยไม่ถึง 3 วัน หรือขอเพื่อพิจารณาเบิกค่ารักษาที่เป็นสวัสดิการของบริษัท ควรขอความยินยอม และความยินยอมในกรณีนี้ถือว่าเป็นอิสระได้ เพราะเป็นประโยชน์ของพนักงานเอง ถ้าบริษัทไม่มีผู้เชี่ยวชาญตรวจใบรับรอง แล้วจ้างคนนอกช่วยดู คนนอกนั้นเป็นผู้ประมวลผลข้อมูลที่ต้องมีข้อตกลงตามข้อ HR93
ตรวจสารเสพติดและแอลกอฮอล์
TDPG 4.0 ข้อ HR96–HR98 ยอมรับว่างานบางตำแหน่ง เช่น พนักงานขับรถโดยสาร มีเหตุผลให้ตรวจ แต่แนะนำให้จำกัดการสุ่มตรวจเฉพาะงานที่ต้องระมัดระวังสูง แจ้งพนักงานอย่างเป็นทางการก่อน และห้ามใช้การตรวจนี้สอดส่องชีวิตส่วนตัวนอกเวลางาน
สแกนลายนิ้วมือลงเวลาได้ไหม?
ได้ แต่ต้องทำให้ถูกเงื่อนไขข้อมูลอ่อนไหว ข้อมูลลายนิ้วมือที่ใช้ยืนยันตัวบุคคลเป็นข้อมูลชีวภาพตามมาตรา 26 และ TDPG 4.0 ข้อ S41 บอกตรง ๆ ว่าสัญญาจ้างอย่างเดียวไม่พอ
อีกทั้งในบริบทของการจ้างงาน เงื่อนไขพิเศษในการประมวลผลข้อมูลอ่อนไหวนั้น มีค่อนข้างจำกัด ส่วนใหญ่แล้วจะต้องอาศัยความยินยอมโดยชัดแจ้งของเจ้าของข้อมูล (ลูกจ้าง) ซึ่งบริบทนายจ้าง-ลูกจ้างนั้นจะค่อนข้างมีข้อพิจารณาเป็นพิเศษเพื่อแสดงให้เห็นว่าลูกจ้างให้ความยินยอมโดยอิสระอย่างแท้จริง และฐานสัญญาจ้างก็ยังไม่เพียงพอต่อการเข้าเงื่อนไขพิเศษตามกฎหมาย
ตัวอย่างใต้ข้อ S41 บอกว่า ถ้าไม่แจ้งข้อมูลให้ครบ และไม่แสดงให้เห็นว่าพนักงานเลือกไม่ให้ลายนิ้วมือได้ ความยินยอมนั้นถือเป็นความยินยอมโดยชัดแจ้งไม่ได้ ทางออกที่ใช้ได้จริงคือมีบัตรพนักงานหรือรหัสเป็นทางเลือก และให้พนักงานเลือกโดยไม่มีผลต่อการประเมิน
ข้อ S41 ยังให้ถามก่อนว่ามีวิธีที่ล่วงล้ำน้อยกว่าหรือไม่ และข้อ S42 แนะนำให้อุปกรณ์ลบข้อมูลดิบทันทีเมื่อสร้าง template แล้ว พร้อมเข้ารหัส template ด้วย ก่อนซื้อเครื่องลงเวลาจึงควรถามผู้ขายเรื่องนี้ไว้
กำกับการทำงาน อีเมล และกล้อง ต้องแจ้งอะไรก่อน?
ต้องแจ้งก่อนเริ่ม ทั้งวัตถุประสงค์ ขอบเขต และผลกระทบที่อาจเกิดขึ้น TDPG 4.0 ข้อ HR65 ระบุว่าความยินยอมของลูกจ้างต่อการถูกตรวจสอบอาจไม่เป็นอิสระ ฐานที่ใช้จึงเป็นประโยชน์อันชอบธรรม ซึ่งต้องชั่งน้ำหนักตามข้อ HR66–HR67
ก่อนที่จะมีการตรวจสอบใด ๆ เกิดขึ้น นายจ้างจะต้องแจ้งให้ลูกจ้างทราบถึงวัตถุประสงค์ในการตรวจสอบ ประโยชน์ที่แท้จริง และขอบเขตของการตรวจสอบ ตลอดถึงผลกระทบอันไม่พึงประสงค์ที่อาจเกิดจากการตรวจสอบนั้น เว้นแต่ว่าการตรวจสอบดังกล่าวจะเป็นการตรวจสอบในทางลับ
- อีเมลและอินเทอร์เน็ต: TDPG 4.0 ข้อ HR72 ให้มีนโยบายเป็นลายลักษณ์อักษร บอกว่าใช้ส่วนตัวได้แค่ไหน ห้ามอะไร ตรวจอย่างไร และบทลงโทษถ้าฝ่าฝืน
- กล้องวงจรปิด: ข้อ HR74 ให้ติดป้ายบอกตำแหน่งกล้อง วิธีทำงาน และเหตุผล ข้อ HR77 ห้ามซ่อนกล้องในห้องน้ำหรือห้องเปลี่ยนเสื้อผ้า อ่านต่อใน บทความเรื่องกล้องวงจรปิด
- การตรวจสอบลับ: ข้อ HR76 ให้ทำได้เฉพาะเหตุไม่ปกติ เช่น สงสัยการทุจริตที่ต้องสอบสวนโดยเร็ว และต้องหยุดเมื่อสอบสวนเสร็จ
- ใครเห็นผลการตรวจ: ข้อ HR70 ให้จำกัดคนเข้าถึงให้น้อยที่สุด และคนนั้นต้องผ่านการอบรม
TDPG 4.0 ข้อ HR69 (1) มีอีกข้อที่ควรรู้ คือไม่ควรตรวจสอบพนักงานเพียงเพราะลูกค้าตั้งเงื่อนไขมา เว้นแต่บริษัทพิจารณาแล้วเห็นว่าเงื่อนไขนั้นเป็นธรรม
พนักงานลาออก: ข้อมูลต้องเก็บต่อหรือลบ?
ต้องเก็บบางส่วนต่อ และลบบางส่วนเมื่อหมดความจำเป็น ไม่มีคำตอบเดียวสำหรับทั้งแฟ้ม TDPG 4.0 ข้อ HR60–HR62 ให้นายจ้างกำหนดเกณฑ์เก็บรักษาแยกตามประเภทข้อมูล ทั้งของพนักงานปัจจุบันและอดีตพนักงาน
การเก็บรักษาข้อมูลส่วนบุคคลของลูกจ้าง (และอดีตลูกจ้าง) โดยปราศจากความจำเป็นย่อมเป็นภาระของนายจ้าง และอาจก่อให้เกิดความเสี่ยงต่อการใช้ข้อมูลส่วนบุคคลดังกล่าวโดยผิดพลาดได้
| ประเภทข้อมูล | ระยะเก็บในตัวอย่าง TDPG | เหตุผลที่ TDPG ให้ไว้ |
|---|---|---|
| สัญญาจ้างและเอกสารเปลี่ยนสภาพการจ้าง | ตลอดการจ้าง และ 10 ปีนับแต่เลิกสัญญา หรือตามกฎหมายอื่น | รองรับกรณีถูกฟ้องเรียกค่าชดเชย |
| การจ่ายเงิน ค่าแรง ค่าล่วงเวลา โบนัส | ตลอดการจ้าง และ 2 ปีนับแต่เลิกสัญญา | อายุความตาม ป.พ.พ. มาตรา 193/34 (8) และ (9) ตามที่ TDPG อ้าง |
| ชั่วโมงทำงานและค่าตอบแทน | ตลอดการจ้าง และ 2 ปีนับแต่เลิกสัญญา | เหตุผลเดียวกับข้างบน |
| ประวัติการลา วินัย การลาออก เลิกจ้าง และความยินยอมเรื่องข้อมูลอ่อนไหว | ตลอดการจ้าง และ 10 ปีนับแต่เลิกสัญญา | ตามตัวอย่างนโยบาย |
| อุบัติเหตุ การบาดเจ็บ หรือการตายจากการทำงาน | ตลอดการจ้าง และ 10 ปีนับแต่เลิกสัญญา | ตามตัวอย่างนโยบาย |
ตารางนี้ช่วยให้เริ่มได้เร็ว แต่บริษัทควรตรวจกับกฎหมายแรงงาน ภาษี และกฎหมายเฉพาะธุรกิจของตัวเองก่อนกำหนดจริง จากนั้นเขียนระยะเวลาไว้ในหนังสือแจ้งพนักงานตามมาตรา 23 (3) และทำบันทึกการทำลายเมื่อครบกำหนด
อดีตพนักงานขอสำเนาข้อมูลของตัวเอง
พนักงานและอดีตพนักงานมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลของตนตามมาตรา 30 และ TDPG 4.0 ข้อ HR40–HR41 แนะนำให้บริษัทมีระบบที่ดึงข้อมูลรายคนได้ และให้ยืนยันตัวตนผู้ขอก่อน เพราะอาจมีคนนอกแอบอ้างเป็นพนักงาน
เมื่อเจ้าของข้อมูลส่วนบุคคลมีคำขอตามวรรคหนึ่งและเป็นกรณีที่ไม่อาจปฏิเสธคำขอได้ตามวรรคสอง ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามคำขอโดยไม่ชักช้า แต่ต้องไม่เกินสามสิบวันนับแต่วันที่ได้รับคำขอ
มีบริษัทอื่นโทรมาขอประวัติการทำงาน
ตอบได้ แต่ควรมีนโยบายรองรับก่อน ไม่ใช่ให้หัวหน้าเก่าเล่าตามความจำ TDPG 4.0 ข้อ HR42 ยกกรณีนายจ้างใหม่ขอให้รับรองความสามารถ หรือสถาบันการเงินขอข้อมูลตอนพนักงานยื่นกู้ ซึ่งล้วนเป็นการเปิดเผยข้อมูลส่วนบุคคล
นายจ้างควรกำหนดนโยบายขององค์กรให้มีความชัดเจนว่าบุคคลใดที่สามารถทำการเปิดเผยข้อมูลส่วนบุคคลของลูกจ้างในกรณีที่ถูกบุคคลภายนอกร้องขอได้ [54] โดยนายจ้างจะต้องแจ้งให้ลูกจ้างทราบถึงขอบเขตของข้อมูลส่วนบุคคลที่จะสามารถถูกเปิดเผยเพื่อประโยชน์ในการอ้างอิงดังกล่าวได้
ทางที่ปลอดภัยคือกำหนดผู้มีอำนาจตอบเพียงไม่กี่คน กำหนดว่าจะยืนยันข้อมูลอะไรได้บ้าง เช่น ตำแหน่งและช่วงเวลาที่ทำงาน และบอกขอบเขตนี้ไว้ในหนังสือแจ้งพนักงานตั้งแต่วันแรก เรื่องที่เกินกว่านั้น เช่น เหตุผลที่ออกหรือผลการลงโทษทางวินัย ควรให้เจ้าตัวรับรู้ก่อน
ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหว ถ้าไม่มีกฎหมายบังคับให้ตรวจสำหรับตำแหน่งนั้น ต้องได้ความยินยอมโดยชัดแจ้ง และ TDPG ข้อ HR91 ให้ตรวจเมื่อจำเป็นจริง
การมีทางเลือกจริงทำให้ความยินยอมโดยชัดแจ้งเป็นอิสระตามแนว TDPG ข้อ S41
ขัด TDPG ข้อ HR68 และ HR72 ที่ให้แจ้งและมีนโยบายก่อน เว้นแต่เป็นการตรวจสอบลับที่มีเหตุสมควรตามข้อ HR76
TDPG ข้อ HR26–HR28 ให้กำหนดระยะเวลา แจ้งผู้สมัครถ้าจะเก็บไว้สำหรับตำแหน่งในอนาคต และลบเมื่อหมดความจำเป็น
คำถามที่พบบ่อย
ต้องให้พนักงานเซ็นยินยอม PDPA ทุกคนไหม?
ไม่จำเป็นสำหรับงานบุคคลหลัก งานอย่างจ่ายเงินเดือน ภาษี ประกันสังคม ใช้ฐานสัญญาหรือหน้าที่ตามกฎหมายตามมาตรา 24 ได้ สิ่งที่ต้องมีคือหนังสือแจ้งตามมาตรา 23 ส่วนความยินยอมใช้กับเรื่องที่พนักงานปฏิเสธได้จริง และข้อมูลอ่อนไหวที่ไม่เข้าข้อยกเว้นในมาตรา 26
ขอผลตรวจสุขภาพก่อนเข้างานได้ไหม?
ได้ถ้ามีกฎหมายบังคับให้ตรวจสำหรับงานนั้น ซึ่งเข้ามาตรา 26 (5) (ก) ถ้าไม่มี ต้องได้ความยินยอมโดยชัดแจ้ง TDPG 4.0 ข้อ HR87 และ HR91 แนะนำให้ตรวจเฉพาะเมื่อจำเป็น ให้ผู้เชี่ยวชาญด้านสุขภาพเป็นผู้ตีความ และจำกัดคนเข้าถึงผล
ใช้ลายนิ้วมือลงเวลาโดยอ้างสัญญาจ้างได้ไหม?
TDPG 4.0 ข้อ S41 ระบุว่าฐานสัญญาจ้างไม่เพียงพอสำหรับข้อมูลชีวภาพ ส่วนใหญ่ต้องอาศัยความยินยอมโดยชัดแจ้งที่ให้โดยอิสระจริง ควรมีทางเลือกอื่น เช่น บัตรพนักงาน และพิจารณาก่อนว่ามีวิธีที่ล่วงล้ำน้อยกว่าหรือไม่
เก็บข้อมูลอดีตพนักงานได้นานแค่ไหน?
PDPA ไม่ได้กำหนดตัวเลขเดียว ให้เก็บเท่าที่จำเป็นตามวัตถุประสงค์และกฎหมายอื่นที่บังคับ TDPG 4.0 มีตัวอย่างนโยบาย เช่น สัญญาจ้าง 10 ปี และข้อมูลการจ่ายเงิน 2 ปีนับแต่เลิกสัญญา ซึ่งเป็นตัวอย่าง ไม่ใช่ระยะเวลาตามกฎหมาย ต้องแจ้งระยะเวลาตามมาตรา 23 (3)
บริษัทใหม่โทรมาถามว่าพนักงานคนนี้ทำงานดีไหม ตอบได้หรือเปล่า?
เป็นการเปิดเผยข้อมูลส่วนบุคคล TDPG 4.0 ข้อ HR43 แนะนำให้มีนโยบายว่าใครตอบได้ และแจ้งพนักงานล่วงหน้าว่าข้อมูลขอบเขตไหนอาจถูกเปิดเผยเพื่อการอ้างอิง เรื่องที่เกินขอบเขตนั้นควรขอความเห็นชอบจากเจ้าตัวก่อน
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 23 · มาตรา 26 · มาตรา 30
- TDPG 4.0 แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคลของไทย (แนวปฏิบัติ ไม่ใช่กฎหมาย) — บท HR (ข้อ HR18–HR28 · HR40–HR43 · HR60–HR77 · HR87–HR98) · บท S ข้อ S40–S41
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566 — ข้อ 5 · ข้อ 9
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)