ข้อมูลพนักงานตาม PDPA ตั้งแต่เงินเดือนถึงลายนิ้วมือ HR ต้องตรวจอะไรบ้าง ข้อมูลพนักงานส่วนใหญ่ใช้ฐานสัญญาจ้างหรือหน้าที่ตามกฎหมาย เช่น เงินเดือน ภาษี และประกันสังคม แต่บางเรื่องเป็นข้อมูลอ่อนไหวตามมาตรา 26 เช่น ลายนิ้วมือ ข้อมูลสุขภาพ และประวัติอาชญากรรม ซึ่งต้องได้ความยินยอมโดยชัดแจ้งหรือเข้าข้อยกเว้นเฉพาะ HR ควรไล่ทีละเรื่องตั้งแต่รับสมัครจนพนักงานลาออก ว่าเก็บอะไร ใช้ฐานอะไร แจ้งพนักงานแล้วหรือยัง และเก็บนานแค่ไหน
โรงงานแห่งหนึ่งเปลี่ยนเครื่องลงเวลาเป็นสแกนลายนิ้วมือ ติดกล้องทั่วโรงงาน และติด GPS รถส่งของ พอพนักงานร้องเรียน บริษัทหาไม่เจอว่าเคยแจ้งใครหรือขอความยินยอมเรื่องไหนไว้บ้าง
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- ข้อมูลพนักงานส่วนใหญ่ใช้ฐานสัญญาจ้างหรือหน้าที่ตามกฎหมาย
- ลายนิ้วมือ สุขภาพ และประวัติอาชญากรรม เป็นข้อมูลอ่อนไหวตามมาตรา 26
- กล้อง GPS และการตรวจอีเมล ต้องแจ้งพนักงานและจำกัดตามวัตถุประสงค์
- ต้องมีระยะเก็บหลังพนักงานลาออก
- เรื่องอ่อนไหวควรให้คนตัดสินพร้อมเหตุผลทุกครั้ง
ทำตามนี้ 6 ขั้นตอน
ทำตามลำดับ 6 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- ไล่ 14 เรื่องที่ HR ใช้เงินเดือน ลงเวลา รับสมัคร ประเมินผล ข้อมูลครอบครัว พ้นสภาพ ลายนิ้วมือ สุขภาพ ประวัติอาชญากรรม ข้อมูลบุคคลอื่น กล้อง การตรวจระบบไอที GPS และการแจ้งเบาะแส
- ใส่ฐานทางกฎหมายรายเรื่องแยกเรื่องที่ใช้สัญญาจ้าง หน้าที่ตามกฎหมาย ประโยชน์โดยชอบด้วยกฎหมาย หรือต้องได้ความยินยอม
- แยกข้อมูลอ่อนไหวเรื่องที่เข้ามาตรา 26 ต้องมีความยินยอมโดยชัดแจ้งหรือข้อยกเว้นเฉพาะ และควรพิจารณาทางเลือกที่กระทบน้อยกว่า
- แจ้งพนักงานทำประกาศความเป็นส่วนตัวสำหรับพนักงานและผู้สมัครงาน ระบุการตรวจสอบหรือการเฝ้าดูที่มี
- กำหนดระยะเก็บบอกว่าเก็บข้อมูลผู้สมัครที่ไม่ได้รับเลือกและพนักงานที่ลาออกนานแค่ไหน แล้วลบตามกำหนด
- แยกผู้ตัดสินกับผู้อนุมัติเรื่องอ่อนไหวให้คนหนึ่งตัดสินและอีกคนอนุมัติ เพื่อให้มีการตรวจทาน
เรื่องไหนของ HR ที่เป็นข้อมูลอ่อนไหว?
มาตรา 26 ระบุข้อมูลสุขภาพ ความพิการ ข้อมูลชีวภาพ ประวัติอาชญากรรม ข้อมูลสหภาพแรงงาน และอื่น ๆ HR มักเจอสามเรื่องแรกบ่อยที่สุด
- ลายนิ้วมือหรือใบหน้าในเครื่องลงเวลา
- ผลตรวจสุขภาพและใบรับรองแพทย์
- การตรวจประวัติอาชญากรรมก่อนจ้าง
- ข้อมูลสหภาพแรงงาน
ติดกล้องและ GPS กับพนักงานได้แค่ไหน?
ทำได้เมื่อมีวัตถุประสงค์ชัด เช่น ความปลอดภัยหรือการขนส่ง แจ้งพนักงานล่วงหน้า และไม่ใช้เกินวัตถุประสงค์ เช่น ไม่ติด GPS นอกเวลางาน
พื้นที่ส่วนตัว เช่น ห้องน้ำหรือห้องพัก ไม่ควรมีกล้องเลย
เก็บข้อมูลผู้สมัครงานที่ไม่ได้รับเลือกได้นานแค่ไหน?
ควรกำหนดระยะเวลาที่ชัด และบอกผู้สมัครตั้งแต่แรก ถ้าอยากเก็บไว้พิจารณาตำแหน่งอื่นในอนาคต ควรขอความยินยอมแยก
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ เปลี่ยนเป็นเครื่องสแกนลายนิ้วมือโดยไม่ได้ขอความยินยอม | ✓ ขอความยินยอมโดยชัดแจ้ง และมีทางเลือกอื่น เช่น บัตรพนักงาน สำหรับคนที่ไม่ยินยอม |
| ✗ ไม่มีประกาศความเป็นส่วนตัวสำหรับพนักงาน | ✓ ทำประกาศแยกสำหรับพนักงานและผู้สมัครงาน แล้วให้รับทราบตอนเริ่มงาน |
| ✗ เก็บแฟ้มพนักงานที่ลาออกไว้ตลอดไป | ✓ กำหนดระยะเก็บตามอายุความหรือหน้าที่ตามกฎหมาย แล้วลบหรือทำลายตามรอบ |
ตรวจข้อมูลพนักงานครบ 14 เรื่อง
AIPDPA พาตรวจการใช้ข้อมูลพนักงานทีละเรื่อง ช่องว่างคำนวณจากทะเบียนกิจกรรม กล้อง และประกาศที่มีจริง เรื่องข้อมูลอ่อนไหวให้คนตัดสินพร้อมเหตุผล และออกรายงานพร้อมเลขที่
มีในทุกแพ็กเกจ เริ่มต้น 2,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
ข้อมูลเงินเดือนต้องขอความยินยอมหรือไม่?
โดยทั่วไปไม่ต้อง เพราะจำเป็นต่อสัญญาจ้างและหน้าที่ตามกฎหมายภาษีและประกันสังคม แต่ต้องแจ้งพนักงานให้ทราบ
ตรวจอีเมลบริษัทของพนักงานได้หรือไม่?
ทำได้เมื่อมีวัตถุประสงค์ชัดและแจ้งไว้ในนโยบาย ควรตรวจเท่าที่จำเป็นและเก็บบันทึกว่าใครเข้าถึง
ข้อมูลครอบครัวของพนักงานเป็นข้อมูลของใคร?
เป็นข้อมูลของบุคคลในครอบครัวนั้น บริษัทต้องแจ้งวัตถุประสงค์ และถ้าเป็นบุตรที่เป็นผู้เยาว์ต้องคำนึงถึงมาตรา 20 ด้วย
พนักงานขอดูข้อมูลของตัวเองได้หรือไม่?
ได้ พนักงานเป็นเจ้าของข้อมูล ใช้สิทธิขอเข้าถึงได้เหมือนลูกค้า และบริษัทต้องตอบภายในกำหนด
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 3 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 24 — ฐานทางกฎหมายในการเก็บรวบรวมข้อมูล
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 26 — ข้อมูลอ่อนไหว รวมถึงข้อมูลสุขภาพ ข้อมูลชีวภาพ และประวัติอาชญากรรม
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (TDPG 4.0) — การประมวลผลข้อมูลลูกจ้าง
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
เงินเดือน ลงเวลา ลายนิ้วมือ สุขภาพ กล้อง GPS และแจ้งเบาะแส ช่องว่างคำนวณจากทะเบียนจริง เรื่องอ่อนไหวให้คนตัดสิน
สมัครใช้งาน →ทะเบียนเติมจากโครงสร้างองค์กรให้เอง เลือกฐานกฎหมายพร้อมมาตรา แล้วพิมพ์รายงานตามมาตรา 39 ได้ทันที
สมัครใช้งาน →ทะเบียนกล้องและแบบประเมินตามแนวทาง NCSA รายการตรวจ 96 ข้อ ระดับ B · E · H พร้อมรอบทบทวนและรายงานพิมพ์ได้
สมัครใช้งาน →เอกสารพร้อมใช้ 40 แบบ ไทย/อังกฤษ ยืนยันข้อสัญญาที่ AI เขียนเพิ่มครบ 88 ข้อ กรอกจากทะเบียนให้เอง และมี QR ยืนยันฉบับที่อนุมัติ
สมัครใช้งาน →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ