เบิกค่ารักษาให้พนักงานและครอบครัว HR ต้องขอความยินยอมหรือไม่

สมมติว่าเช้าวันจันทร์ ฝ่ายบุคคลเปิดถาดเอกสารเข้า เจอใบเบิกค่ารักษาสามใบ ใบแรกเป็นของพนักงานบัญชี แนบใบรับรองแพทย์ที่เขียนชื่อโรค ใบที่สองเป็นค่าคลอดของภรรยาพนักงานขับรถ ใบที่สามเป็นค่าผ่าตัดของแม่ยายหัวหน้าแผนก ทั้งสามใบจะถูกสแกนเข้าระบบ ส่งต่อให้ฝ่ายบัญชี และในบางบริษัทส่งต่อให้บริษัทประกัน

เอกสารทั้งหมดนี้เป็นข้อมูลสุขภาพ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มาตรา 26 ห้ามเก็บโดยไม่ได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้น และเจ้าของข้อมูลสองในสามคนไม่ได้เป็นพนักงาน ไม่เคยเซ็นเอกสารใดกับบริษัทเลย

เรื่องนี้มีบริษัท ธนาคาร และหน่วยงานรัฐ สงสัยจนต้องถามสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) มาแล้วอย่างน้อยสี่ครั้ง คำตอบไม่ได้ไปทางเดียวกันทุกงาน บางงานไม่ต้องขอความยินยอมเลย บางงานต้องขอ แบบฟอร์มยินยอมใบเดียวที่ให้ทุกคนเซ็นจึงอาจผิดได้ทั้งสองทาง บทความนี้วางคำตอบทั้งสี่เรื่องเทียบกัน แล้วสรุปเป็นตารางรายเอกสารกับแผนแก้ 7 วัน

ใบเสร็จค่ารักษาเป็นข้อมูลอ่อนไหวด้วยหรือ?

เป็น หลายบริษัทคิดว่าเฉพาะใบรับรองแพทย์ที่เขียนชื่อโรคเท่านั้นที่เป็นข้อมูลสุขภาพ ส่วนใบเสร็จเป็นแค่เอกสารการเงิน สคส. ตอบข้อหารือของสำนักงานพัฒนารัฐบาลดิจิทัล (สพร.) ไว้ว่า ทั้งใบเบิก ใบรับรองแพทย์ และใบเสร็จรับเงิน เป็นข้อมูลสุขภาพตามมาตรา 26

ใบเบิกของ สพร. มีช่องให้กรอกชื่อของเจ้าหน้าที่หรือคนในครอบครัว โรคที่เข้ารับการรักษา ชื่อสถานพยาบาล และจำนวนเงิน แบบฟอร์มเบิกของบริษัทเอกชนส่วนใหญ่ก็ถามคล้ายกัน ใบเสร็จโรงพยาบาลเองมักระบุแผนกที่รักษาและรายการยา คนที่อ่านก็รู้ได้ว่าเจ้าของใบเสร็จป่วยเป็นอะไร

ผลคือแฟ้มเบิกสวัสดิการทั้งแฟ้มอยู่ใต้มาตรา 26 ฐานสัญญาจ้างหรือฐานประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 ที่ใช้กับข้อมูลพนักงานทั่วไป ใช้กับแฟ้มนี้ไม่ได้ ต้องหาข้อยกเว้นในมาตรา 26 ให้เจอ ถ้าหาไม่เจอ ต้องได้ความยินยอมโดยชัดแจ้ง ภาพรวมของข้อมูลตามมาตรา 26 ในบริษัท อ่านได้ที่ ข้อมูลอ่อนไหวที่บริษัทเก็บอยู่ทุกวันโดยไม่รู้ตัว

บริษัทเอกชนเบิกค่ารักษาให้พนักงาน ต้องขอความยินยอมหรือไม่?

ไม่ต้อง ถ้าสวัสดิการนั้นเป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้างที่ผูกพันนายจ้างตามกฎหมายแรงงานสัมพันธ์ ถ้าไม่เป็น ต้องได้ความยินยอมโดยชัดแจ้ง คำตอบนี้มาจากข้อหารือ สคส. เรื่อง บริษัท W ขอหารือเกี่ยวกับการเก็บรวบรวมข้อมูลการรักษาพยาบาลเพื่อเบิกจ่ายเงินสวัสดิการ

บริษัท W ขอความยินยอมแล้วพนักงานไม่ให้

บริษัท W มีสวัสดิการช่วยเหลือค่ารักษาพยาบาลที่เกิดจากข้อเรียกร้องของสหภาพแรงงาน ครอบคลุมโรคทั่วไปและโรคร้ายแรง พนักงานที่จะเบิกต้องยื่นใบรับรองแพทย์ที่ระบุชื่อโรคหรืออาการ กับใบเสร็จค่ารักษา ให้ฝ่ายทรัพยากรบุคคล ฝ่ายบุคคลตรวจแล้วบันทึกลงโปรแกรมงานบุคคล จ่ายเงินพร้อมเงินเดือน และเก็บเอกสารไว้ 10 ปีเพื่อให้กรมสรรพากรตรวจ

บริษัทเห็นว่าเป็นข้อมูลสุขภาพ จึงทำแบบฟอร์มขอความยินยอม และเขียนไว้ว่าถ้าไม่ยินยอม บริษัทจะจ่ายเงินช่วยเหลือให้ไม่ได้ ปรากฏว่ามีพนักงานไม่ยอมเซ็น และโต้ว่ากรณีนี้เข้าข้อยกเว้นตามมาตรา 26 (5) (ค) บริษัทมีหน้าที่จ่ายตามข้อตกลงเกี่ยวกับสภาพการจ้างอยู่แล้ว บริษัท W จึงถาม สคส. ว่าต้องทำอย่างไร

สคส. เห็นไปทางเดียวกับพนักงาน ข้อตกลงเกี่ยวกับสภาพการจ้างผูกพันนายจ้างและลูกจ้างตามมาตรา 19 แห่ง พ.ร.บ.แรงงานสัมพันธ์ พ.ศ. 2518 ถ้าบริษัท W เห็นว่าการเก็บข้อมูลสุขภาพเพื่อพิจารณาเบิกจ่ายเป็นส่วนหนึ่งของข้อตกลงนั้น การเก็บก็เป็นการจำเป็นเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน บริษัทเก็บได้โดยไม่ต้องขอความยินยอมโดยชัดแจ้ง ข้อยกเว้นที่ใช้อยู่ในมาตรา 26 (5) ที่ขึ้นต้นว่าเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเรื่องต่อไปนี้

สคส. ยกตัวอย่างงานอื่นที่เข้าข้อยกเว้นเดียวกันไว้ด้วย คือการขอใบรับรองแพทย์ประกอบการลาป่วย การลาเพื่อทำหมัน การลาคลอด และการเปลี่ยนงานชั่วคราวของลูกจ้างหญิงมีครรภ์ที่มีใบรับรองแพทย์ ตามกฎหมายคุ้มครองแรงงาน งานเหล่านี้ไม่ต้องมีใบยินยอม

คำว่า “ผู้มีสิทธิตามกฎหมาย” ไม่ได้หมายถึงพนักงานบริษัทเอกชน

มาตรา 26 (5) (ค) มีคำว่า “สวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย” อยู่ด้วย ฝ่ายบุคคลภาคเอกชนอ่านแล้วอาจเข้าใจว่าครอบคลุมสวัสดิการของบริษัทตัวเอง สคส. ตั้งข้อสังเกตในเรื่องบริษัท W ว่า คำนี้ครอบคลุมข้าราชการ ลูกจ้างประจำ และบุคลากรของหน่วยงานของรัฐที่มีสิทธิตามกฎหมาย รวมถึงบุคคลในครอบครัวของคนกลุ่มนั้น ไม่ครอบคลุมพนักงานของหน่วยงานเอกชนที่ไม่ได้เป็นผู้มีสิทธิตามกฎหมาย

สำหรับสวัสดิการที่บริษัทจัดเอง บริษัทเอกชนจึงต้องอาศัยคำว่า “การคุ้มครองแรงงาน” และจะใช้คำนี้ได้ ต้องชี้ได้ว่าสวัสดิการนั้นมาจากกฎหมายแรงงาน หรือจากข้อตกลงเกี่ยวกับสภาพการจ้างที่ผูกพันตามกฎหมาย

ถ้าสวัสดิการไม่ได้อยู่ในข้อตกลงเกี่ยวกับสภาพการจ้าง

สคส. ตอบส่วนนี้ไว้ในเรื่องเดียวกัน สวัสดิการรักษาพยาบาลหรือสวัสดิการสุขภาพที่นายจ้างจัดให้ โดยไม่ได้เป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้างที่ผูกพันตามกฎหมายแรงงานสัมพันธ์ ไม่เข้ามาตรา 26 (5) (ค) การเก็บข้อมูลสุขภาพเพื่อพิจารณาเบิกจ่ายต้องได้ความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล

กรณีนี้นายจ้างกำหนดเป็นเงื่อนไขได้ว่า ใครจะเบิกต้องให้ความยินยอม ไม่อย่างนั้นบริษัทพิจารณาจ่ายไม่ได้ สคส. เห็นว่าทำได้ตามมาตรา 19 วรรคสี่ เพราะข้อมูลนั้นจำเป็นและเกี่ยวข้องกับการพิจารณาเบิกจ่าย แต่ก่อนตั้งเงื่อนไข นายจ้างต้องพิจารณาก่อนว่าข้อมูลแต่ละรายการ เช่น ชื่อโรคในใบรับรองแพทย์ จำเป็นต่อการพิจารณาหรือไม่ เพียงใด

มีหน้าที่ตามมาอีกสองข้อ ข้อแรก ต้องแจ้งผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลหรือการถอนความยินยอม ตามมาตรา 23 (2) และมาตรา 19 วรรคหก ข้อสอง สคส. แนะให้แจ้งเหตุผลที่ต้องขอความยินยอมเป็นเงื่อนไขของการเบิก ให้พนักงานเข้าใจก่อนหรือขณะเก็บข้อมูล วิธีทำใบยินยอมให้ครบองค์ประกอบ อ่านได้ที่ คู่มือความยินยอมที่ใช้ได้จริง

ข้อมูลของคู่สมรส ลูก และพ่อแม่ ที่ไม่เคยเซ็นอะไรกับบริษัท ใช้ฐานอะไร?

ใช้ข้อยกเว้นเดียวกับของพนักงาน ถ้าสวัสดิการของครอบครัวอยู่ในข้อตกลงเกี่ยวกับสภาพการจ้างที่ผูกพันนายจ้าง หลัง สคส. เผยแพร่คำตอบเรื่องบริษัท W ธนาคาร X ยกเรื่องครอบครัวขึ้นถามต่อ ในข้อหารือ สคส. เรื่อง ธนาคาร X ขอหารือเกี่ยวกับฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลของพนักงานและครอบครัวของพนักงานสำหรับการใช้สิทธิสวัสดิการ

ธนาคารถามเป็นรายกิจกรรม ฝั่งพนักงานมีการเบิกค่ารักษาและค่าตรวจสุขภาพ การลาป่วยติดต่อกัน 3 วันขึ้นไป ลาคลอด ลาทำหมัน ลาอุปสมบท ลาไปประกอบพิธีฮัจย์ และเงินยืมสวัสดิการค่ารักษาพยาบาล ฝั่งครอบครัวมีค่ารักษาของคู่สมรสและบุตร เงินยืมค่ารักษาของคู่สมรส บุตร บิดามารดา และบิดามารดาของคู่สมรส เงินยืมเพื่อการสมรส และการลาไปช่วยภริยาที่คลอดบุตร

ข้อที่ธนาคารกังวลมีสองข้อ สวัสดิการของครอบครัวเกิดจากข้อเสนอของฝ่ายนายจ้าง ไม่ได้มาจากข้อเรียกร้องของสหภาพแรงงานเหมือนบริษัท W และเจ้าของข้อมูลไม่ได้เป็นลูกจ้างของธนาคาร

สคส. ตอบธนาคาร X ว่าอย่างไร

สคส. เห็นว่าข้อตกลงเกี่ยวกับสภาพการจ้างผูกพันนายจ้างและลูกจ้าง ไม่ว่าจะเกิดจากข้อเสนอของฝ่ายลูกจ้างหรือฝ่ายนายจ้าง และไม่ว่าสวัสดิการนั้นให้แก่พนักงาน คู่สมรส บุตร บิดามารดาของพนักงาน หรือบิดามารดาของคู่สมรส ถ้าธนาคารเห็นว่าการเก็บข้อมูลความเชื่อทางศาสนา ข้อมูลสุขภาพ ความพิการ หรือข้อมูลอื่นตามมาตรา 26 จำเป็นต่อการขอใช้และการพิจารณาสิทธิหรือสวัสดิการตามกฎหมายหรือตามข้อตกลงนั้น ก็เข้ามาตรา 26 (5) (ค)

ผลตามคำตอบ ธนาคารเก็บ ใช้ และเปิดเผยข้อมูลในกรณีนั้นได้โดยไม่ต้องขอความยินยอมโดยชัดแจ้ง ตามมาตรา 26 (5) (ค) ประกอบมาตรา 27 วรรคหนึ่ง สคส. กำกับเงื่อนไขไว้สองข้อ ธนาคารต้องเก็บเท่าที่จำเป็นตามมาตรา 22 และต้องมีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูล

ในคำตอบเดียวกัน สคส. อธิบายกฎหมายแรงงานที่ใช้ประกอบ บทความนี้เล่าตามที่ข้อหารือสรุปเท่านั้น เพราะตัวบทกฎหมายแรงงานไม่อยู่ในคลังของเรา ข้อหารือระบุว่า พ.ร.บ.แรงงานสัมพันธ์ มาตรา 10 ให้สถานประกอบกิจการที่มีลูกจ้างตั้งแต่ 20 คนขึ้นไปมีข้อตกลงเกี่ยวกับสภาพการจ้าง และถ้าเป็นที่สงสัยว่ามีข้อตกลงหรือไม่ ให้ถือว่าข้อบังคับเกี่ยวกับการทำงานที่นายจ้างต้องจัดให้มีตามกฎหมายคุ้มครองแรงงาน เป็นข้อตกลงเกี่ยวกับสภาพการจ้าง

ข้อนี้มีผลกับบริษัทที่ไม่มีสหภาพแรงงาน สวัสดิการที่เขียนอยู่ในข้อบังคับเกี่ยวกับการทำงาน มีโอกาสเข้าเงื่อนไขแบบเดียวกับของธนาคาร X ส่วนสวัสดิการที่ผู้บริหารประกาศให้เป็นครั้งคราวและไม่อยู่ในเอกสารใดเลย สคส. ไม่ได้ตอบว่าเข้า บริษัทควรให้ทนายความด้านแรงงานดูเอกสารของบริษัทก่อนสรุป

ถ้าไม่เข้าเงื่อนไข ต้องขอความยินยอมจากใคร

สคส. ตอบต่อว่า ถ้าการเก็บข้อมูลตามมาตรา 26 ไม่ได้เป็นไปเพื่อสิทธิหรือสวัสดิการตามกฎหมาย ไม่ได้เป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้าง และไม่เข้าข้อยกเว้นอื่นในมาตรา 26 ก็ต้องได้ความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลตามมาตรา 26 วรรคหนึ่ง การขอต้องเป็นไปตามมาตรา 19 และมาตรา 20

เจ้าของข้อมูลในที่นี้คือคู่สมรส ลูก หรือพ่อแม่เอง พนักงานเซ็นแทนไม่ได้ เว้นแต่กรณีที่มาตรา 20 กำหนดไว้ เช่น ลูกที่ยังเป็นผู้เยาว์ ต้องขอจากผู้ใช้อำนาจปกครองตามเงื่อนไขของมาตรานั้น รายละเอียดอยู่ใน ข้อมูลเด็กกับความยินยอมของผู้ปกครอง

ทะเบียนสมรสของคู่สมรสเพศเดียวกัน เป็นข้อมูลตามมาตรา 26 หรือไม่

ธนาคาร X ถามอีกข้อที่ฝ่ายบุคคลทุกบริษัทจะเจอ เอกสารประกอบการเบิกของคู่สมรสอาจทำให้ธนาคารรู้ว่าเป็นการจดทะเบียนสมรสเพศเดียวกัน จากคำนำหน้าชื่อหรือเอกสารที่เกี่ยวข้อง จะนับเป็นข้อมูลพฤติกรรมทางเพศตามมาตรา 26 หรือไม่

สคส. เห็นว่า ถ้าธนาคารไม่มีวัตถุประสงค์จะใช้ข้อมูลนั้นบ่งชี้พฤติกรรมทางเพศ ก็ไม่ถือเป็นการเก็บข้อมูลเกี่ยวกับพฤติกรรมทางเพศตามมาตรา 26 สคส. เทียบกับภาพถ่ายใบหน้าหญิงสวมฮิญาบที่ไม่ได้เก็บเพื่อบ่งชี้ศาสนา และข้อมูลน้ำหนักที่ไม่ได้เก็บเพื่อบ่งชี้ความเสี่ยงด้านสุขภาพ สถานะการสมรสจึงใช้ฐานตามมาตรา 24 ที่ตรงกับวัตถุประสงค์

คำตอบมีคำเตือนต่อท้าย ข้อมูลนี้เสี่ยงถูกนำไปบ่งชี้หรืออนุมานพฤติกรรมทางเพศ ธนาคารต้องใช้ตามวัตถุประสงค์ที่แจ้งไว้ตามมาตรา 21 เก็บเท่าที่จำเป็นตามมาตรา 22 แจ้งรายละเอียดตามมาตรา 23 และมีมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1) ให้ได้มาตรฐานขั้นต่ำของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ทั้งมาตรการเชิงองค์กร เชิงเทคนิค และทางกายภาพที่จำเป็น

เก็บข้อมูลครอบครัวผ่านมือพนักงาน ต้องแจ้งเจ้าตัวหรือไม่

ข้อมูลของคู่สมรสและพ่อแม่มาถึงบริษัทผ่านพนักงาน เป็นการเก็บจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลโดยตรง มาตรา 25 วรรคหนึ่ง (2) ให้เก็บแบบนี้ได้เมื่อเป็นการเก็บที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา 24 หรือมาตรา 26 ในเรื่อง สพร. สคส. ใช้มาตรานี้ตอบว่า หน่วยงานเก็บข้อมูลสุขภาพของครอบครัวเจ้าหน้าที่ได้ โดยไม่ต้องแจ้งและขอความยินยอมจากบุคคลในครอบครัวก่อน

คำตอบธนาคาร X ไม่ได้พูดถึงมาตรา 25 โดยตรง แต่ย้ำหน้าที่แจ้งรายละเอียดตามมาตรา 23 ไว้ในส่วนของสถานะการสมรส ทางที่ปลอดภัยสำหรับบริษัทเอกชน คือพิมพ์ข้อความแจ้งสั้น ๆ ไว้ในใบเบิก ให้พนักงานส่งต่อให้คนในครอบครัวรู้ว่าบริษัทเก็บข้อมูลอะไร ใช้ทำอะไร และเก็บนานเท่าไร ข้อนี้เป็นแนวปฏิบัติที่ทีม AIPDPA แนะนำ ไม่ได้เป็นข้อความในข้อหารือ

ส่งข้อมูลให้บริษัทประกันกลุ่ม ใช้ข้อยกเว้นเดียวกันได้หรือไม่?

ไม่ได้ ฝ่ายบุคคลพลาดข้อนี้ง่ายที่สุด เพราะคิดว่าเมื่อบริษัทเบิกจ่ายเองไม่ต้องขอความยินยอม ส่งให้บริษัทประกันก็ไม่ต้องขอเหมือนกัน ในเรื่อง สพร. สคส. แยกสองกรณีนี้ออกจากกัน

เหตุผลของ สคส. คือการเปิดเผยให้บริษัทประกันภัยเป็นการเปิดเผยให้บุคคลอื่น ไม่ได้เป็นการจำเป็นในการปฏิบัติตามกฎหมายโดยตรง และบริษัทประกันภัยเป็นผู้ควบคุมข้อมูลส่วนบุคคลอีกรายหนึ่ง สคส. ให้ทางออกไว้ หน่วยงานกำหนดเป็นเงื่อนไขได้ว่าบุคลากรหรือบุคคลในครอบครัวที่จะใช้สวัสดิการ ต้องให้ความยินยอมเรื่องการส่งข้อมูลให้บริษัทประกันภัย เพราะจำเป็นและเกี่ยวข้องกับสวัสดิการนั้นตามมาตรา 19 วรรคสี่

ฝั่งเอกชนมีคำตอบไปทางเดียวกัน ในข้อหารือของบริษัท ก. เรื่องประกันกลุ่ม สคส. ระบุว่ามาตรา 19 ประกอบมาตรา 24 มาตรา 26 และมาตรา 27 วรรคหนึ่ง กำหนดให้การเก็บ ใช้ หรือเปิดเผยข้อมูลโดยผู้ควบคุมข้อมูลที่เกี่ยวข้องในกรณีที่หารือ ต้องได้ความยินยอมจากเจ้าของข้อมูลก่อนหรือในขณะเก็บ ใช้ หรือเปิดเผย

บริษัทประกันให้ HR เซ็นรับรองว่าพนักงานยินยอมแล้ว เซ็นได้หรือไม่?

เซ็นได้ แต่ต้องรู้ว่ากำลังรับรองอะไร บริษัท ก. มีกรมธรรม์ประกันกลุ่มกับบริษัทประกันภัยรายหนึ่งมา 4 ถึง 5 ปี ต่อมาบริษัทประกันภัยขอให้ลงนามในหนังสือคำรับรองการได้รับความยินยอมจากสมาชิกผู้เอาประกันภัยและผู้อยู่ในอุปการะ ถ้าไม่ลงนามจะไม่รับสมาชิกใหม่และไม่ต่ออายุกรมธรรม์ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัท ก. เห็นว่าเป็นการให้บริษัทยินยอมแทนพนักงาน จึงถาม สคส.

สคส. เห็นว่าหนังสือนี้ไม่ได้ทำให้บริษัท ก. ยินยอมแทนพนักงาน เนื้อหาเป็นคำรับรองต่อบริษัทประกันภัยว่า บริษัท ก. แจ้งนโยบายคุ้มครองข้อมูลส่วนบุคคลของผู้รับประกันภัยให้สมาชิกรับทราบแล้ว ข้อมูลที่ส่งให้ถูกต้อง และบริษัท ก. นำหนังสือให้ความยินยอมไปขอจากพนักงานแทนบริษัทประกันภัยและได้รับความยินยอมแล้ว การมอบหมายให้นายจ้างไปขอความยินยอมแทนแบบนี้ทำได้โดยชอบด้วยกฎหมาย ถ้าความยินยอมที่ได้มาเป็นไปตามมาตรา 19 และมาตรา 20

ข้อที่ต้องอ่านให้ครบคือหน้าที่ที่มากับลายเซ็น ข้อหารือสรุปเนื้อหาของหนังสือคำรับรองส่วนนี้ไว้ว่า

แปลเป็นงานของฝ่ายบุคคลได้สี่ข้อ ต้องได้ความยินยอมจากพนักงานและผู้อยู่ในอุปการะทีละคน ต้องเก็บหลักฐานไว้ตลอดและหยิบให้ได้เมื่อบริษัทประกันขอ ต้องมีขั้นตอนรองรับเมื่อมีคนถอนความยินยอม และต้องรับผิดต่อบริษัทประกันหรือนายหน้าตามที่หนังสือกำหนด ถ้าเซ็นไปทั้งที่ยังมีใบยินยอมไม่ครบทุกคน บริษัทกำลังรับรองข้อเท็จจริงที่ไม่ตรงกับความจริง

ถ้ารับเงื่อนไขไม่ได้ สคส. บอกทางเลือกไว้สองทาง เจรจากับผู้รับประกันภัย หรือดูเงื่อนไขของบริษัทประกันชีวิตรายอื่น สคส. เห็นว่าหนังสือคำรับรองเป็นนิติกรรมตามประมวลกฎหมายแพ่งและพาณิชย์ ผู้เกี่ยวข้องแก้ไขถ้อยคำกันได้ และ PDPA ไม่มีบทใดกำหนดว่าบริษัท ก. ต้องลงนามหรือไม่ ส่วนการที่บริษัทประกันไม่ให้บริการต่อเมื่อไม่ลงนาม สคส. เห็นว่าเป็นเรื่องการทำสัญญาระหว่างเอกชน เป็นไปตามเงื่อนไขในสัญญาและประมวลกฎหมายแพ่งและพาณิชย์

ใบยินยอมที่ทำไว้ไม่ถูกแบบก็ใช้รับรองไม่ได้ มาตรา 19 วรรคสามให้การขอความยินยอมต้องแยกส่วนจากข้อความอื่นและแจ้งวัตถุประสงค์ ใบยินยอมที่พิมพ์รวมอยู่ในสัญญาจ้างหรือในใบสมัครประกันโดยไม่แยกส่วน เสี่ยงต่อผลตามวรรคท้ายของมาตราเดียวกัน

เอกสารแต่ละชนิดในแฟ้มสวัสดิการ ใช้ฐานอะไร และ HR ต้องทำอะไร?

ตารางนี้รวมคำตอบของ สคส. ทั้งสี่เรื่องเป็นรายเอกสาร คำว่า “อยู่ในข้อตกลง” หมายถึงสวัสดิการหรือสิทธินั้นเป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้างที่ผูกพันนายจ้าง หรือเป็นสิทธิตามกฎหมายแรงงาน ทุกแถวที่ใช้มาตรา 26 (5) (ค) มีเงื่อนไขเดียวกัน คือนายจ้างต้องเห็นว่าข้อมูลนั้นจำเป็นต่อการพิจารณาสิทธิ และต้องมีมาตรการคุ้มครองเจ้าของข้อมูล

สี่ข้อหารือนี้ต่างกันตรงไหน?

ทั้งสี่เรื่องใช้มาตรา 26 (5) (ค) เป็นแกน แต่ผู้ถามอยู่คนละสถานะและใช้คนละคำในวงเล็บ (ค) อ่านแยกกันแล้วสรุปผิดได้ง่าย โดยเฉพาะบริษัทเอกชนที่หยิบคำตอบของหน่วยงานรัฐมาใช้กับตัวเอง

ในเรื่อง สพร. คำตอบระบุว่าได้หารือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลในการประชุมครั้งที่ 6/2566 เพื่อตีความตามมาตรา 16 (10) ด้วย ส่วนอีกสามเรื่องเป็นความเห็นของคณะอนุกรรมการตอบข้อหารือ ทั้งหมดเป็นความเห็นต่อข้อเท็จจริงที่ผู้ถามเล่ามา ไม่ได้เป็นตัวบทหรือคำสั่งลงโทษ เวลานำไปใช้ต้องตรวจว่าข้อเท็จจริงของบริษัทตรงกับเรื่องที่ถามหรือไม่

สังเกตถ้อยคำของ สคส. ในเรื่องบริษัท W และธนาคาร X คำตอบขึ้นต้นว่า “หาก” นายจ้างเห็นว่าการเก็บข้อมูลจำเป็นและเป็นส่วนหนึ่งของข้อตกลง แปลว่านายจ้างเป็นคนพิจารณาเอง และต้องอธิบายได้เมื่อถูกถาม บริษัทควรจดเหตุผลนี้ไว้เป็นลายลักษณ์อักษร

สถานการณ์สมมติ 6 แบบ บริษัทคุณอยู่แบบไหน?

ทำผิดกับข้อมูลสุขภาพในแฟ้ม HR กฎหมายกำหนดผลไว้อย่างไร?

PDPA กำหนดผลไว้สามทาง คือโทษทางปกครอง โทษอาญา และความรับผิดทางแพ่ง ข้อมูลตามมาตรา 26 มีเพดานโทษปรับทางปกครองสูงที่สุดในกฎหมายฉบับนี้ และเป็นข้อมูลกลุ่มเดียวที่มาตรา 79 กำหนดโทษจำคุกไว้สำหรับผู้ควบคุมข้อมูล ตัวบทด้านล่างคัดเฉพาะมาตราที่ตรงกับงานสวัสดิการ

โทษทางปกครอง

การเก็บข้อมูลสุขภาพโดยไม่มีข้อยกเว้นและไม่มีความยินยอมโดยชัดแจ้ง เป็นการฝ่าฝืนมาตรา 26 วรรคหนึ่ง การใช้หรือส่งต่อโดยไม่มีฐาน เป็นการฝ่าฝืนมาตรา 27 วรรคหนึ่ง ทั้งสองกรณีอยู่ในมาตรา 84 มาตรา 90 ให้คณะกรรมการผู้เชี่ยวชาญสั่งให้แก้ไขหรือตักเตือนก่อนได้ และให้คำนึงถึงความร้ายแรงของพฤติกรรมกับขนาดกิจการ

ยังมีโทษปรับอีกสองระดับที่เกี่ยวกับแฟ้มนี้ มาตรา 83 กำหนดโทษปรับทางปกครองไม่เกิน 3 ล้านบาทสำหรับการไม่ปฏิบัติตามมาตรา 22 เรื่องเก็บเท่าที่จำเป็น และมาตรา 37 เรื่องมาตรการรักษาความมั่นคงปลอดภัย มาตรา 82 กำหนดไม่เกิน 1 ล้านบาทสำหรับการไม่แจ้งรายละเอียดตามมาตรา 23 และการไม่แจ้งผลกระทบจากการถอนความยินยอมตามมาตรา 19 วรรคหก

โทษอาญา และความรับผิดของกรรมการ

มาตรา 79 ใช้กับการใช้หรือเปิดเผยข้อมูลตามมาตรา 26 ที่ฝ่าฝืนมาตรา 27 วรรคสองของมาตราเดียวกันเพิ่มโทษเป็นจำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 1 ล้านบาท หรือทั้งจำทั้งปรับ ถ้าทำเพื่อแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมาย ความผิดตามมาตรานี้ยอมความได้

สมมติว่าฝ่ายบุคคลส่งประวัติการเคลมที่มีชื่อโรคของพนักงานให้บุคคลภายนอก โดยไม่มีความยินยอมและไม่มีข้อยกเว้นรองรับ และการส่งนั้นน่าจะทำให้พนักงานเสียหายหรืออับอาย ข้อเท็จจริงแบบนี้อยู่ในเรื่องที่มาตรา 79 พูดถึง ส่วนจะเป็นความผิดหรือไม่ ศาลเป็นผู้วินิจฉัยจากพยานหลักฐานในแต่ละคดี

มาตรา 81 ทำให้เรื่องนี้ไปถึงตัวบุคคล กรรมการ ผู้จัดการ หรือคนที่รับผิดชอบงานของนิติบุคคล ต้องรับโทษด้วย ถ้าความผิดเกิดจากการสั่งการหรือการกระทำของตน และรวมถึงกรณีมีหน้าที่ต้องสั่งการหรือกระทำแล้วละเว้น การปล่อยให้ฝ่ายบุคคลส่งข้อมูลสุขภาพออกไปโดยไม่เคยมีใครตรวจฐานทางกฎหมาย จึงเป็นความเสี่ยงของผู้บริหารเองด้วย

ความรับผิดทางแพ่ง

เจ้าของข้อมูลที่เสียหายไม่ต้องพิสูจน์ว่าบริษัทจงใจหรือประมาท และศาลสั่งค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มได้ไม่เกิน 2 เท่าของค่าสินไหมทดแทนที่แท้จริง มาตรา 78 วรรคสองกำหนดอายุความ 3 ปีนับแต่วันที่ผู้เสียหายรู้ถึงความเสียหายและรู้ตัวผู้ต้องรับผิด หรือ 10 ปีนับแต่วันที่ละเมิดข้อมูลส่วนบุคคล คนที่ฟ้องได้รวมถึงคู่สมรสและพ่อแม่ของพนักงานที่ข้อมูลอยู่ในแฟ้มของบริษัท

ทดสอบ 5 ข้อ แฟ้มสวัสดิการของบริษัทคุณผ่านหรือไม่?

ให้หัวหน้าฝ่ายบุคคลตอบห้าข้อนี้โดยไม่เปิดเอกสาร ถ้าตอบว่าไม่แน่ใจตั้งแต่สองข้อขึ้นไป ควรเริ่มแผน 7 วันในหัวข้อถัดไป

1. สวัสดิการค่ารักษาของพนักงานและครอบครัวแต่ละรายการ เขียนอยู่ในข้อตกลงเกี่ยวกับสภาพการจ้าง ข้อบังคับเกี่ยวกับการทำงาน หรือเป็นแค่ประกาศของผู้บริหาร
2. ถ้าไม่ขอชื่อโรคในใบรับรองแพทย์ ฝ่ายบุคคลยังอนุมัติการเบิกได้หรือไม่
3. พนักงานและผู้อยู่ในอุปการะที่มีชื่อในกรมธรรม์ประกันกลุ่ม มีใบยินยอมให้ส่งข้อมูลแก่บริษัทประกันครบทุกคนหรือไม่ และเก็บอยู่ที่ไหน
4. หนังสือคำรับรองฉบับล่าสุดที่บริษัทลงนามให้บริษัทประกัน รับรองเรื่องอะไรไว้บ้าง และใครเป็นคนลงนาม
5. ตอนนี้มีกี่คนที่เปิดอ่านใบรับรองแพทย์ของพนักงานและครอบครัวได้ และทุกคนจำเป็นต้องอ่านหรือไม่

แผน 7 วัน จัดแฟ้มสวัสดิการให้ถูกฐาน

แผนนี้เรียงจากคำตอบของ สคส. ทั้งสี่เรื่อง ทำได้ด้วยคนของฝ่ายบุคคลกับ DPO โดยไม่ต้องซื้อระบบใหม่ วันที่ 1 ถึง 4 แก้เรื่องฐานทางกฎหมาย วันที่ 5 ถึง 7 แก้เรื่องการแจ้ง ความปลอดภัย และบันทึก

1. วันที่ 1
   รวบรวมเอกสารที่ให้สิทธิสวัสดิการทุกฉบับ ทั้งข้อตกลงเกี่ยวกับสภาพการจ้าง ข้อบังคับเกี่ยวกับการทำงาน ประกาศสวัสดิการ และกรมธรรม์ประกันกลุ่ม แล้วแยกสวัสดิการเป็นสองกลุ่ม กลุ่มที่อยู่ในข้อตกลงหรือเป็นสิทธิตามกฎหมายแรงงาน กับกลุ่มที่ไม่อยู่มาตรา 26 (5) (ค)
2. วันที่ 2
   ไล่แบบฟอร์มเบิกและรายการเอกสารแนบทีละช่อง ถามว่าถ้าไม่มีข้อมูลนี้ยังพิจารณาเบิกได้หรือไม่ ช่องที่ไม่จำเป็นให้ตัดออก เช่น ชื่อโรค ในสวัสดิการที่จ่ายตามยอดใบเสร็จมาตรา 22
3. วันที่ 3
   สำหรับสวัสดิการกลุ่มที่ไม่อยู่ในข้อตกลง ทำหนังสือขอความยินยอมโดยชัดแจ้ง แยกจากเอกสารอื่น บอกวัตถุประสงค์ บอกว่าถ้าไม่ให้หรือถอนความยินยอมจะเบิกสวัสดิการนั้นไม่ได้ และบอกเหตุผลที่ต้องตั้งเป็นเงื่อนไขมาตรา 19 วรรคสาม วรรคสี่ วรรคหก และมาตรา 23 (2)
4. วันที่ 4
   เปิดรายชื่อผู้เอาประกันและผู้อยู่ในอุปการะ เทียบกับใบยินยอมที่มีทีละชื่อ ขอเพิ่มจากคนที่ยังไม่มี อ่านหนังสือคำรับรองที่ลงนามไว้ ถ้ารับหน้าที่ข้อใดไม่ได้ให้เจรจาแก้ถ้อยคำกับบริษัทประกันหรือนายหน้ามาตรา 19 มาตรา 20 และมาตรา 26 วรรคหนึ่ง
5. วันที่ 5
   เพิ่มข้อความแจ้งสำหรับคนในครอบครัวลงในใบเบิก และปรับ privacy notice ของพนักงานให้มีงานสวัสดิการ ผู้รับข้อมูล เช่น บริษัทประกัน และระยะเวลาเก็บ สำหรับบุตรที่เป็นผู้เยาว์ ตรวจวิธีขอความยินยอมตามมาตรา 20 ในส่วนที่ต้องขอมาตรา 23 และมาตรา 25
6. วันที่ 6
   ล็อกตู้เอกสาร จำกัดสิทธิ์เข้าโฟลเดอร์และเมนูสวัสดิการในโปรแกรมงานบุคคลให้เหลือเฉพาะคนที่อนุมัติการเบิก หัวหน้างานควรเห็นแค่ผลอนุมัติ ไม่ต้องเห็นใบรับรองแพทย์ ครอบคลุมทั้งมาตรการเชิงองค์กร เชิงเทคนิค และทางกายภาพตามที่ สคส. ย้ำกับธนาคาร Xมาตรา 37 (1)
7. วันที่ 7
   จดกิจกรรมสวัสดิการลงบันทึกรายการ ระบุฐานทางกฎหมายรายกิจกรรม ผู้รับข้อมูล และระยะเวลาเก็บ บันทึกการใช้หรือเปิดเผยที่อาศัยข้อยกเว้น และจดเหตุผลที่บริษัทเห็นว่าข้อมูลจำเป็นต่อการพิจารณาสิทธิมาตรา 39 และมาตรา 27 วรรคสาม

เรื่องระยะเวลาเก็บ บริษัท W แจ้ง สคส. ว่าเก็บเอกสารเบิกไว้ 10 ปีนับจากวันจ่ายเงิน โดยอ้างระยะเวลาที่กรมสรรพากรประเมินภาษีได้ แล้วจึงลบทำลาย สคส. ไม่ได้ให้ความเห็นเรื่องระยะเวลานี้ บริษัทจึงต้องกำหนดเองและอธิบายเหตุผลได้ วิธีแยกแฟ้มที่เก็บต่อกับแฟ้มที่ต้องลบ อ่านได้ที่ ข้อมูลพนักงานเก่า เก็บต่อได้แค่ไหน ต้องลบเมื่อไร

เรื่องที่ข้อหารือทั้งสี่ยังไม่ได้ตอบ

ข้อหารือตอบเฉพาะสิ่งที่ผู้ถามถาม มีสี่เรื่องที่ฝ่ายบุคคลมักเจอ แต่คำตอบทั้งสี่ฉบับไม่ได้ครอบคลุม บทความนี้จึงไม่สรุปแทน สคส.

• ระยะเวลาเก็บเอกสารเบิก บริษัท W ใช้ 10 ปี แต่ สคส. ไม่ได้ให้ความเห็นว่าเหมาะสมหรือไม่
• สวัสดิการที่อยู่ในประกาศของผู้บริหารอย่างเดียว จะนับเป็นข้อตกลงเกี่ยวกับสภาพการจ้างหรือไม่ เป็นคำถามของกฎหมายแรงงาน ข้อหารือไม่ได้ตอบ
• วิธีแจ้งคนในครอบครัวของพนักงานบริษัทเอกชน คำตอบธนาคาร X ย้ำหน้าที่ตามมาตรา 23 แต่ไม่ได้บอกวิธี
• ผู้ให้บริการจัดการเคลม โรงพยาบาลคู่สัญญา และนายหน้าประกัน ว่าเป็นผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูล ต้องดูสัญญาและลักษณะงานเป็นรายกรณี

งานบุคคลยังมีข้อมูลอีกหลายชุดนอกเหนือจากแฟ้มสวัสดิการ ตั้งแต่ใบสมัครงานจนถึงวันลาออก อ่านต่อได้ที่ ข้อมูลพนักงานตั้งแต่สมัครงานจนลาออก และข้อหารือเรื่องอื่นที่บริษัทเจอบ่อย อยู่ใน รวมคำตอบข้อหารือ 8 เรื่องที่ฝ่ายบุคคลและฝ่ายกฎหมายถามบ่อย

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)